SSL प्रमाणपत्र के माध्यम से nginx में क्लाइंट का प्राधिकरण

परिचय:

एक छोटी सी एपीआई लिखने के लिए मुझे किसी तरह यहाँ ले आया, जिसमें साधारण अनुरोधों के अलावा, "उच्च स्तर की गोपनीयता" के साथ अनुरोध स्वीकार करना आवश्यक था।
मैं इसका सामना करने वाला पहला नहीं था और दुनिया लंबे समय से ऐसी चीजों के लिए एसएसएल का उपयोग कर रही है।

चूंकि nginx का उपयोग मेरे सर्वर पर किया जाता है, इसलिए SSL मॉड्यूल इंस्टॉल किया गया था
Google ने एक भी काम करने योग्य हॉटो नहीं दिया, लेकिन नेटवर्क की जानकारी भागों में है।

इसलिए, SSL प्रमाणपत्र के माध्यम से ग्राहकों को अधिकृत करने के लिए nginx को कॉन्फ़िगर करने पर एक कदम-दर-चरण मार्गदर्शिका ।

चेतावनी! यह लेख एक उदाहरण के रूप में स्व-हस्ताक्षरित प्रमाण पत्र का उपयोग करता है!

शुरू करने से पहले, nginx config में एक फ़ोल्डर बनाएं, जहां हमारे मजदूरों के फल होंगे:

cd /path/to/nginx/config/ mkdir ssl && cd ssl 

चरण 1. अपना स्वयं का हस्ताक्षरित विश्वसनीय प्रमाण पत्र बनाएं।

क्लाइंट सर्वर पर हस्ताक्षर करने और वेब सर्वर के साथ क्लाइंट को अधिकृत करते समय उन्हें सत्यापित करने के लिए एक व्यक्तिगत विश्वसनीय प्रमाण पत्र (प्रमाणपत्र प्राधिकरण या सीए) की आवश्यकता होती है।
नीचे दिए गए आदेश का उपयोग एक निजी कुंजी और एक स्व-हस्ताक्षरित प्रमाण पत्र बनाता है।

 openssl req -new -newkey rsa:1024 -nodes -keyout ca.key -x509 -days 500 -subj /C=RU/ST=Moscow/L=Moscow/O=Companyname/OU=User/CN=etc/emailAddress=support@site.com -out ca.crt 

तर्कों का विवरण:

req एक नया प्रमाणपत्र बनाने का अनुरोध।
-न्यू सर्टिफिकेट साइनिंग रिक्वेस्ट (CSR) बनाएं।
-newkey rsa: 1023 एक नई 1024-बिट आरएसए निजी कुंजी स्वचालित रूप से बनाई जाएगी। आप अपनी इच्छानुसार कुंजी लंबाई कॉन्फ़िगर कर सकते हैं।
-nodes निजी कुंजी एन्क्रिप्ट न करें।
-keyout ca.key निजी कुंजी को ca.key फ़ाइल में सहेजें।
-x509 CSR बनाने के बजाय (-new विकल्प देखें) एक स्व-हस्ताक्षरित प्रमाणपत्र बनाएं।
-रविवार प्रमाण पत्र की वैधता 500 दिन है। आप अपनी इच्छानुसार वैधता अवधि के आकार को समायोजित कर सकते हैं। छोटे मूल्यों में प्रवेश करने की अनुशंसा नहीं की जाती है, क्योंकि इस प्रमाण पत्र के साथ आप ग्राहक प्रमाणपत्र पर हस्ताक्षर करेंगे।
-subj /C=RU/ST=Moscow/L=Moscow/O=Companyname/OU=User/CN=etc/emailAddress=support@site.com
प्रमाणपत्र डेटा, पैरामीटर = मूल्य जोड़े, '/' के माध्यम से सूचीबद्ध हैं। पैरामीटर मान में वर्ण बैकस्लैश "\" का उपयोग करके "छोटा" किया जा सकता है, उदाहरण के लिए, "O = My \ Inc"। आप तर्क को भी उद्धृत कर सकते हैं, उदाहरण के लिए, -subj "/ xx / xx / xx"।

चरण 2. सर्वर प्रमाणपत्र

Nginx के लिए एक प्रमाण पत्र बनाएं और इसके लिए अनुरोध करें

 openssl genrsa -des3 -out server.key 1024 openssl req -new -key server.key -out server.csr 

हम अपने स्वयं के हस्ताक्षर के साथ प्रमाण पत्र पर हस्ताक्षर करेंगे

 openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt 

इसलिए कि नगनेक्स रिबूट पर पासवर्ड नहीं मांगता है, हम इसके लिए प्रमाणपत्र की एक पासवर्ड रहित प्रतिलिपि बनाएंगे

 openssl rsa -in server.key -out server.nopass.key 

Nginx विन्यास

 listen *:443; ssl on; ssl_certificate /path/to/nginx/ssl/server.crt; ssl_certificate_key /path/to/nginx/ssl/server.nopass.key; ssl_client_certificate /path/to/nginx/ssl/ca.crt; ssl_verify_client on; keepalive_timeout 70; fastcgi_param SSL_VERIFIED $ssl_client_verify; fastcgi_param SSL_CLIENT_SERIAL $ssl_client_serial; fastcgi_param SSL_CLIENT_CERT $ssl_client_cert; fastcgi_param SSL_DN $ssl_client_s_dn; 

अब सर्वर https अनुरोधों को स्वीकार करने के लिए तैयार है।
प्रमाणपत्र जानकारी के साथ चर बैकएंड के लिए चर में दिखाई दिए, मुख्य रूप से SSL_VERIFIED (मान SUCCESS लेता है)।

हालाँकि, यदि आप साइट तक पहुँचने का प्रयास करते हैं, तो यह एक त्रुटि है:

 400 Bad Request No required SSL certificate was sent 

खैर, तार्किक रूप से, यह सब नमक है!

स्टेप 3. क्लाइंट सर्टिफिकेट बनाएं

3.1 सीए की तैयारी

एक विन्यास बनाएँ
नैनो ca.config

निम्नलिखित सामग्री के साथ:

 [ ca ] default_ca = CA_CLIENT #    #   CA_CLIENT [ CA_CLIENT ] dir = ./db #     certs = $dir/certs #    new_certs_dir = $dir/newcerts #     database = $dir/index.txt #       serial = $dir/serial #      (  ) certificate = ./ca.crt #   CA private_key = ./ca.key #    CA default_days = 365 #     default_crl_days = 7 #   CRL default_md = md5 #   policy = policy_anything #          [ policy_anything ] countryName = optional #  optional -  , supplied -  stateOrProvinceName = optional localityName = optional organizationName = optional organizationalUnitName = optional commonName = optional emailAddress = optional 

इसके बाद, आपको कॉन्फ़िगरेशन फ़ाइल में वर्णित निर्देशिका और फ़ाइल संरचना तैयार करने की आवश्यकता है

 mkdir db mkdir db/certs mkdir db/newcerts touch db/index.txt echo "01" > db/serial 

3.2। ग्राहक निजी कुंजी और प्रमाणपत्र अनुरोध (CSR) बनाना

एक हस्ताक्षरित क्लाइंट प्रमाणपत्र बनाने के लिए, आपको पहले उसके बाद के हस्ताक्षर के लिए एक प्रमाणपत्र अनुरोध बनाना होगा। कमांड तर्क पूरी तरह से स्व-हस्ताक्षरित विश्वसनीय प्रमाण पत्र बनाने के लिए उपयोग किए गए तर्कों के समान हैं, लेकिन -x509 पैरामीटर गायब है।

 openssl req -new -newkey rsa:1024 -nodes -keyout client01.key -subj /C=RU/ST=Moscow/L=Moscow/O=Companyname/OU=User/CN=etc/emailAddress=support@site.com -out client01.csr 

कमांड के परिणामस्वरूप, दो फाइलें client01.key और client01.csr दिखाई देंगी।

3.3। एक विश्वसनीय प्रमाण पत्र (सीए) का उपयोग करके प्रमाणपत्र अनुरोध हस्ताक्षर (सीएसआर)।

अनुरोध पर हस्ताक्षर करते समय, ca.config फ़ाइल में निर्दिष्ट पैरामीटर का उपयोग किया जाता है

 openssl ca -config ca.config -in client01.csr -out client01.crt -batch 

आदेश के परिणामस्वरूप, क्लाइंट प्रमाणपत्र फ़ाइल client01.crt दिखाई देगी।

निम्नलिखित प्रमाण पत्र बनाने के लिए, इन दो चरणों को दोहराएं।

3.4। क्लाइंट ब्राउज़र के लिए PKCS # 12 प्रमाणपत्र बनाना

यह उस स्थिति में है जब मेरे मामले में, आपके सर्वर से मेमोरी मशीन जुड़ी नहीं हैं, लेकिन एक ब्राउज़र के माध्यम से लोग रहते हैं।
पासवर्ड से सुरक्षित PKCS # 12 फ़ाइल को ब्राउज़र को खिलाया जाना चाहिए ताकि यह आपकी साइट पर जा सके।

 openssl pkcs12 -export -in client01.crt -inkey client01.key -certfile ca.crt -out client01.p12 -passout pass:q1w2e3 

3.5 कर्ल का उपयोग करके प्राप्त ssl सर्वर से कनेक्शन

 curl -k --key client.key --cert client1.crt --url "https://site.com" 

-K विकल्प का उपयोग किया जाता है क्योंकि उदाहरण में प्रमाण पत्र स्व-हस्ताक्षरित है

प्रयुक्त सॉफ्टवेयर

उबंटू सर्वर 10.10 (लिनक्स 2.6.35-22-सर्वर # 35-उबटन एसएमपी x86_64 GNU / लिनक्स)
नग्नेक्स 0.9.3
ओपनएसएसएल 0.9.8o 01 जून 2010

उपयोगी लिंक

• उबंटू पर ओपनएसएसएल
• क्लाइंट प्रमाणपत्र बनाने के लिए सामान्य एसएसएल कॉन्फ़िगरेशन
• Ssl nginx'a (यह मेरे लिए काम नहीं करता) के तहत स्थापित करना
• ngx_http_ssl_module मॉड्यूल

मुझे आशा है कि यह किसी के लिए उपयोगी था।

PS यह पोस्ट 16 जनवरी, 2011 को मेरा पहला प्रकाशन था, पुरानी प्रति हटा दी गई थी (साइट प्रशासन के अनुरोध पर और क्योंकि यह मेरे खाते से जुड़ी नहीं थी)।