2.3. 在 NGINX web 服务器中添加 TLS 加密

流程

1. 编辑 /etc/nginx/nginx.conf文件，并将以下server块添加到配置中的http块中：

   server {
       listen              443 ssl;
       server_name         example.com;
       root                /usr/share/nginx/html;
       ssl_certificate     /etc/pki/tls/certs/example.com.crt;
       ssl_certificate_key /etc/pki/tls/private/example.com.key;
   }

2. 可选：从 RHEL 9.3 开始，您可以使用 ssl_pass_phrase_dialog 指令为每个加密私钥配置一个在 nginx 启动时调用的外部程序。向 /etc/nginx/nginx.conf 文件中添加以下行：

   • 要为每个加密的私钥文件调用外部程序，请输入：

     ssl_pass_phrase_dialog exec:<path_to_program>;

     NGINX 使用以下两个参数调用该程序：

     • 服务器名称在 server_name 设置中指定。
     • 以下一种算法之一：RSA、DSA、EC、DH 或 UNK（如果无法识别加密算法）。

   • 如果要为每个加密的私钥文件手动输入密码短语，请输入：

     ssl_pass_phrase_dialog builtin;

     如果没有配置 ssl_pass_phrase_dialog，这是默认行为。

     注意

     如果使用此方法，但至少有一个私钥受密码保护，则 nginx 服务无法启动。在这种情况下，请使用其它方法。

   • 如果您希望 systemd 在使用 systemctl 工具启动 nginx 服务时对每个加密的私钥提示输入密码短语，请输入：

     ssl_pass_phrase_dialog exec:/usr/libexec/nginx-ssl-pass-dialog;

3. 出于安全考虑，配置成只有 root 用户才可以访问私钥文件：

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   警告

   如果私钥被设置为可以被未授权的用户访问，则需要撤销证书，然后再创建一个新私钥并请求一个新证书。否则，TLS 连接就不再安全。

4. 重启nginx服务：

   # systemctl restart nginx