国密Nginx服务器部署

密码

技术

发布日期: 2024-05-09

文章字数: 701

前言

有段时间没写博客了，现在有个这样的任务：系统原来的Https加密算法不是用的国密算法，现在要改为国密。有了之前OpenSSL生成证书和密钥的经验，我感觉不难，但今天实际操作，也踩了不少坑。

准备环境

这里要准备国密浏览器（奇安信浏览器），国密OpenSSL与国密Nginx。这些可看我的参考资料，然后找到下载地址。还有最好先找一个比较干净的centos环境，在nginx上测试，如果没问题，然后再修改系统的nginx配置。

在Nginx上编译部署

下载gmssl_openssl_1.1_bxx.tar.gz到/root/下
解压 tar xzfm gmssl_openssl_1.1_bxx.tar.gz -C /usr/local
下载nginx-1.24.0.tar.gz到/root/下
解压 tar xzfm nginx-1.24.0.tar.gz
进入目录 cd /root/nginx-1.24.0
编辑auto/lib/openssl/conf，将全部$OPENSSL/.openssl/修改为$OPENSSL/并保存
编译配置

./configure \
--without-http_gzip_module \
--with-http_ssl_module \
--with-http_stub_status_module \
--with-http_v2_module \
--with-stream \
--with-file-aio \
--with-openssl="/usr/local/gmssl"

编译安装
make install
/usr/local/nginx即为生成的nginx目录

配置示例

与之前不同的是，在国密实验室生成证书，然后在服务器放入证书，如下示例：keystore/是文件夹，sm2.demo1.gmssl.cn.sig.crt.pem是文件名。

测试证书使用www.gmcrt.cn签发。

# https 服务配置
server
{
  listen       443 ssl;;
  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:AES128-SHA:DES-CBC3-SHA:ECC-SM4-CBC-SM3:ECC-SM4-GCM-SM3;
  ssl_verify_client off;
  
  ssl_certificate keystore/sm2.demo1.gmssl.cn.sig.crt.pem;
  ssl_certificate_key keystore/sm2.demo1.gmssl.cn.sig.key.pem;
  
  ssl_certificate keystore/sm2.demo1.gmssl.cn.enc.crt.pem;
  ssl_certificate_key keystore/sm2.demo1.gmssl.cn.enc.key.pem;
  
  location /
  {
    root html;
    index index.html index.htm;
  }
}