Nginx反向代理程式中安全性憑證和TLS最佳化-Nginx-PHP中文網

Nginx反向代理程式中安全性憑證和TLS最佳化

WBOY

發布： 2023-06-09 21:13:36

原創

2039 人瀏覽過

Nginx是一個高效能的HTTP伺服器和反向代理伺服器，可以用來簡化網站架構和最佳化網路請求。在反向代理的過程中，安全性憑證和TLS優化是重要的因素，可以提高網站的安全性和效能。本文將介紹Nginx反向代理程式中安全性憑證和TLS最佳化的相關知識。

一、安全性憑證

1.1 什麼是安全性憑證？

安全憑證是用於對存取網站進行身份驗證、資料加密和資料完整性保護的數位憑證。常見的安全證書有SSL和TLS證書，可以確保網路通訊的安全性。當客戶端透過HTTPS協定存取伺服器時，伺服器會自動向客戶端展示安全證書，如果證書可信，則建立安全通道繼續通信，否則用戶端會提示使用者網站有風險，拒絕連線。

1.2 安全憑證的種類

在部署安全性憑證時，需要選擇適當的憑證種類以滿足業務需求。目前主流的安全證書包括以下幾種：

自簽名證書：透過自己建立的證書頒發機構簽發的安全證書，不需要通過第三方驗證機構認證。但是自簽名憑證可能會提示客戶端網站有風險，因為沒有受到第三方的信任。

DV證書：網域驗證證書，只需驗證網域的所有權，透過電子郵件或網域名稱系統（DNS）進行驗證。 DV憑證可以快速頒發，通常用於個人網站或小型企業。

OV證書：組織驗證證書，需要驗證網站的組織或企業訊息，並透過電話或傳真進行認證。 OV憑證相對DV憑證更加安全可靠，通常用於中小型企業或電子商務網站。

EV證書：增強驗證證書，是最高級別的安全證書，需要驗證網站的企業信息，透過電子郵件和電話等方式進行驗證，同時需要提交企業官方文件進行核實。 EV證書的驗證過程相對較為嚴格，可提高網站的信譽和安全性。

1.3 安全性憑證的部署

在使用Nginx反向代理伺服器時，部署安全性憑證是確保網路安全性的關鍵步驟。其中，最常用的安全性憑證是SSL憑證。以下是安全性憑證的部署步驟：

第一步：在伺服器上安裝憑證相關的軟體，例如openssl，libssl-dev，libssl-dev等。

第二步：產生憑證、私密金鑰和憑證簽署要求（CSR），憑證簽署要求需要提交給數位憑證的授權單位進行認證。

第三步：頒發機構將CSR進行簽章確認後，回傳SSL證書，可以使用openssl進行驗證。

第四步：在Nginx設定檔中設定安全性憑證相關參數，例如ssl_certificate和ssl_certificate_key，注意必須指定憑證路徑。

第五步：重新載入Nginx伺服器，檢查憑證是否已經生效。

二、TLS優化

2.1 什麼是TLS？

TLS是傳輸層安全協議，是SSL的後續版本，用於對網路通訊進行安全加密和認證。 TLS協定可以確保網路通訊的金鑰安全、資料完整性和認證性，並防止中間人攻擊、竊聽和篡改等網路安全問題。 TLS協定是HTTPS協定的核心，可以提高網路通訊的安全性和穩定性。

2.2 TLS優化的方案

在Nginx反向代理中，可以透過TLS協定的最佳化來提高HTTPS協定的效率和效能。以下是常用的TLS優化方案：

啟用TLS協定的SNI擴展：SNI擴展是一項TLS協定擴展，用於在同一台伺服器上使用多個SSL證書，可以支援多個網域共享相同IP位址，提高伺服器的效率和靈活性。

關閉不安全的協定版本：例如SSL 2.0、SSL 3.0、TLS 1.0等協定版本，這些協定有安全性問題並已被列為不安全協議，關閉它們可以提高安全性和效能。

啟用TLS協定的Session Resumption：會話復原是TLS協定的最佳化功能，可在客戶端和伺服器之間共用先前交換的金鑰，從而加快加密通訊的速度。

啟用OCSP Stapling：OCSP Stapling是一種TLS協定擴展，用於快速驗證SSL憑證的狀態，可防止SSL憑證被撤銷或偽造的情況，提高網路安全性和速度。

啟用TLS協定的Perfect Forward Secrecy（PFS）：PFS是一種安全性可靠的金鑰協商機制，可以在每個會話中產生唯一的金鑰，增加了破解難度和安全性。

2.3 TLS優化的實作

在Nginx反向代理程式中，可以透過在設定檔中加入ssl_prefer_server_ciphers on和ssl_ciphers參數來實現TLS最佳化。以下是一些常用的設定範例：

啟用TLS協定的SNI擴充：

server {

listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/certificate.crt;
ssl_certificate_key /path/to/private.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';

# Other configurations

登入後複製

}

##關閉不安全的協定版本：

ssl_protocols TLSv1.2 TLSv1.3;

#啟用TLS協定的Session Resumption：

ssl_session_cache shared:SSL:10m;

ssl_session_tickets off;

啟用OCSP Stapling：

ssl_stapling on;

ssl_stapling_verify on;
ssl_trusted_certificate /path/to/trusted.crt;

啟用PFS：

##ssl_ecdh_curve secp384r1;