Настройка SSL vhosts в Nginx с поддержкой SNI

Version 1.0
Author: Falko Timme
Follow me on Twitter

Введение

В этой статье показано, как настроить SSL vhosts в nginx на Ubuntu 11.04 и Debian Squeeze, чтобы сайт был доступен по HTTPS (порт 443). SSL — это Secure Sockets Layer, криптографический протокол, обеспечивающий шифрование транспортного соединения. Также описано, как использовать SNI (Server Name Indication), чтобы разрешить несколько SSL-виртуальных хостов на одном IP.

Важно: материалы предоставляются “как есть” — без гарантий работоспособности на вашей системе.

Кому это подходит

Коротко: системным администраторам и разработчикам, которые управляют nginx на Ubuntu 11.04 / Debian Squeeze и хотят добавить HTTPS для сайтов, включая размещение нескольких сертификатов на одном IP с помощью SNI.

1 Предварительная заметка

Я предполагаю, что nginx уже установлен и работает, как показано в соответствующих руководствах по установке nginx + PHP5/ PHP-FPM и MySQL для Ubuntu 11.04 и Debian Squeeze.

В примерах буду настраивать vhost для домена www.hostmauritius.com (замените на ваш домен). Сначала покажу создание самоподписанного сертификата (браузеры выдадут предупреждение), затем — установку сертификата от доверенного CA. В качестве примера CA упомяну CAcert.org: сертификаты там бесплатны, но не во всех браузерах распознаются.

Традиционно на одном IP был возможен только один SSL-сертификат; сейчас это можно обойти с помощью SNI. Учтите, что SNI не поддерживается некоторыми старыми браузерами/ОС — см. раздел совместимости.

Чтобы узнать, поддерживает ли ваш браузер SNI, можно перейти на: https://alice.sni.velox.ch/

Во всех примерах подразумеваются root-привилегии. На Ubuntu используйте:

sudo su

чтобы стать root-пользователем.

2 Определение версии nginx

Нужно знать версию nginx — конфигурация SSL отличается для версий < 0.8.21 и >= 0.8.21.

nginx -v

Примеры из исходного руководства: на Ubuntu 11.04 — nginx 0.8.54, на Debian Squeeze — nginx 0.7.67.

3 Настройка vhost

Создадим vhost для www.hostmauritius.com с корнем документа /var/www/www.hostmauritius.com/web. Сначала создаём директорию:

mkdir -p /var/www/www.hostmauritius.com/web

Создадим простой конфиг nginx для HTTP (порт 80):

vi /etc/nginx/sites-available/www.hostmauritius.com.vhost

server {
        listen   80; ## listen for ipv4
        listen   [::]:80; ## listen for ipv6

        server_name  www.hostmauritius.com hostmauritius.com;
        root /var/www/www.hostmauritius.com/web;

        if ($http_host != "www.hostmauritius.com") {
                 rewrite ^ http://www.hostmauritius.com$request_uri permanent;
        }

        location / {
                index  index.php index.html index.htm;
        }

        location ~ \.php$ {
                fastcgi_pass   127.0.0.1:9000;
                fastcgi_index  index.php;
                fastcgi_param  SCRIPT_FILENAME  /var/www$fastcgi_script_name;
                include         fastcgi_params;
        }

        location ~ /\. {
                deny  all;
        }
}

Включаем vhost и перезагружаем nginx:

cd /etc/nginx/sites-enabled/
ln -s /etc/nginx/sites-available/www.hostmauritius.com.vhost www.hostmauritius.com.vhost
/etc/init.d/nginx reload

Важно: перед внесением изменений сделайте резервную копию конфигураций nginx.

4 Создание самоподписанного сертификата

Перед настройкой SSL нам нужен сертификат. Сначала убедитесь, что пакет ssl-cert установлен:

apt-get install ssl-cert

Создадим самоподписанный сертификат для www.hostmauritius.com:

make-ssl-cert /usr/share/ssl-cert/ssleay.cnf /etc/ssl/private/www.hostmauritius.com.crt

При запросе укажите hostname: Host name: <– www.hostmauritius.com

Эта команда создаст самоподписанный сертификат и приватный ключ в одном файле: /etc/ssl/private/www.hostmauritius.com.crt

Можно посмотреть файл:

cat /etc/ssl/private/www.hostmauritius.com.crt

Далее мы разнесём приватный ключ и сертификат в отдельные файлы: приватный ключ /etc/ssl/private/www.hostmauritius.com.key и сам сертификат /etc/ssl/certs/www.hostmauritius.com.pem.

vi /etc/ssl/private/www.hostmauritius.com.key

Файл должен содержать часть от —–BEGIN RSA PRIVATE KEY—– до —–END RSA PRIVATE KEY—– (см. вывод выше).

Затем установим права: ключ должен быть доступен только root:

chmod 600 /etc/ssl/private/www.hostmauritius.com.key

Создаём файл сертификата:

vi /etc/ssl/certs/www.hostmauritius.com.pem

В этот файл помещаем часть от —–BEGIN CERTIFICATE—– до —–END CERTIFICATE—– (см. вывод выше).

После этого можно удалить объединённый файл:

rm -f /etc/ssl/private/www.hostmauritius.com.crt

5 Пример конфигурации SSL vhost для nginx

Ниже — минимальный пример server-блока для SSL (порт 443). Настройте пути к ключу и сертификату согласно вашим файлам.

server {
    listen 443 ssl;
    server_name www.hostmauritius.com;

    ssl_certificate /etc/ssl/certs/www.hostmauritius.com.pem;
    ssl_certificate_key /etc/ssl/private/www.hostmauritius.com.key;

    root /var/www/www.hostmauritius.com/web;

    location / {
        index index.php index.html index.htm;
    }

    location ~ \.php$ {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME /var/www$fastcgi_script_name;
        include fastcgi_params;
    }
}

Если ваш nginx собран с поддержкой SNI (современные сборки), вы можете просто добавить второй server-блок с другим ssl_certificate/ssl_certificate_key, и nginx будет обслуживать оба сертификата на одном IP при условии, что клиент поддерживает SNI.

Совместимость SNI

Поддержка SNI зависит от браузера и ОС. Клиенты с поддержкой SNI (примерный список):

Opera 8.0 и новее (при включенном TLS 1.1)
Internet Explorer 7 и новее (только под Windows Vista и новее, не в Windows XP)
Firefox 2.0 и новее
Curl 7.18.1 и новее (при сборке с поддержкой SNI в SSL/TLS-библиотеке)
Chrome 6.0 и новее (на всех платформах; старые релизы имели ограниченную поддержку)
Safari 3.0 и новее (OS X 10.5.6+ и Windows Vista+)

Если пользователь использует устаревший браузер или ОС без поддержки SNI, он может получить сертификат другого виртуального хоста или сообщение о проблеме с безопасностью.

Important: Internet Explorer на Windows XP не поддерживает SNI.

Дополнительные варианты и рекомендации

Когда SNI не подходит

Для клиентов без SNI (старые браузеры) применяют выделенные IP-адреса: назначьте отдельный публичный IP каждому SSL-сайту.
Используйте сертификат с множеством SAN (Subject Alternative Names) или wildcard-сертификат (*.example.com), если это приемлемо.

Альтернативные подходы

Wildcard-сертификат: покрывает все поддомены одного домена.
SAN-сертификат: один сертификат содержит несколько доменов.
Несколько IP: классическое решение для полной совместимости.

Модель мышления (mental model)

SNI — это расширение TLS, которое позволяет клиенту указать имя сервера в момент рукопожатия TLS. Сервер (nginx) получает это имя и может выбрать соответствующий сертификат; без SNI сервер не знает, какой сертификат послать до завершения рукопожатия.

Рольовые чек-листы

Администратор:

Проверить версию nginx и сборку на поддержку SSL/SNI.
Создать директории и правильно выставить права (ключи — 600).
Настроить конфиги в sites-available и включить их в sites-enabled.
Перезагрузить nginx и проверить логи на ошибки.

Разработчик/QA:

Проверить доступность сайта по HTTPS.
Проверить редиректы с HTTP на HTTPS.
Тестировать поведение в браузерах без SNI.

Безопасность и жёсткие настройки

Используйте современные настройки TLS: отключите SSLv2/SSLv3, включите TLS 1.2/1.3 если доступно.
Подключите strong cipher suite и order preference (preferring server ciphers).
Регулярно обновляйте nginx и системные библиотеки OpenSSL/LibreSSL.

Факты и ключевые числа

Порты: HTTP — 80, HTTPS — 443.
Права на приватный ключ: chmod 600.
Критическая версия nginx для некоторых отличий в конфигурации: 0.8.21.

Примеры проблем и как их решать

Клиенты видят сертификат другого сайта: вероятнее всего клиент не поддерживает SNI или nginx неправильно сопоставляет server_name. Решение: выделить IP или использовать SAN/wildcard сертификат.
nginx не перезагружается после добавления конфигурации: проверить синтаксис конфигов через nginx -t и логи /var/log/nginx/error.log.

Краткое резюме

Создайте vhost для HTTP и проверьте работу сайта по порту 80.
Сгенерируйте самоподписанный сертификат для тестирования, затем разнесите ключ и сертификат в отдельные файлы.
Настройте SSL server-блок в nginx и укажите ssl_certificate и ssl_certificate_key.
Для размещения нескольких SSL-хостов на одном IP используйте SNI, но учитывайте несовместимость со старыми клиентами — при необходимости используйте выделенные IP или SAN/wildcard сертификаты.

Заметка: это руководство ориентировано на Ubuntu 11.04 / Debian Squeeze и приведённые версии nginx; для современных дистрибутивов используйте актуальные пакеты и рекомендованные настройки TLS.

Полезные команды проверки и отладки

Проверка конфигурации nginx:

nginx -t

Перезапуск/перезагрузка сервисов:

/etc/init.d/nginx reload

Просмотр логов ошибок:

tail -f /var/log/nginx/error.log

Важно: перед внесением изменений делайте резервные копии конфигураций и ключей.

Как настроить SSL vhosts в Nginx с поддержкой SNI на Ubuntu 11.04 и Debian Squeeze

Введение

Кому это подходит

1 Предварительная заметка

2 Определение версии nginx

3 Настройка vhost

4 Создание самоподписанного сертификата

5 Пример конфигурации SSL vhost для nginx

Совместимость SNI

Дополнительные варианты и рекомендации

Примеры проблем и как их решать

Краткое резюме

Полезные команды проверки и отладки

Похожие материалы

Несколько аккаунтов Skype: Multi Skype Launcher

Журнал для работы: повысить продуктивность

Персональные звуки уведомлений на Android

Скачивание шоу Hulu для офлайн‑просмотра

Microsoft Start: персонализированная новостная лента

Как изменить имя в Epic Games быстро