2

Добрый вечер. У меня на сервере всё устроено таким образом, что nginx работает как проксирующий веб-сервер и отдаёт статику, а apache обрабатывает динамику. Я купил SSL-сертификат у reg.ru и теперь я бы хотел настроить его на сервере, но не знаю, что именно мне нужно настраивать - nginx или apache. И как именно я могу указать TXT-запись в конфигах сервера?

2 ответа 2

3

TLS шифрование можно и нужно настраивать на фронтэнде (nginx): это быстрее и надежнее. Транспорт между фронтэндом и бэкэндом - apache - будет по-прежнему незашифрованный.

# Редирект на HTTPS  
server {
    listen 80;
    server_name domain.tld  www.domain.tld;
    return 301 https://www.domain.tld$request_uri;
}

# Редирект HTTPS на www
server {
    listen 443 ssl http2;
    server_name domain.tld;

    ssl_certificate     /etc/nginx/ssl/cert.pem; # сертификат сервера
    ssl_certificate_key /etc/nginx/ssl/key.pem; # ключ сервера
    ssl_dhparam         /etc/nginx/ssl/dhparam.pem; # генерируется командой openssl dhparam 2048
    ssl_stapling_verify on;
    ssl_trusted_certificate /path/to/your_intermediate_CA_and_root_certs; #все промежуточные сертификаты от reg.ru в одном бандле
    resolver 77.88.8.1; # или 127.0.0.1 если используется локальный
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers EECDH+AES128:kEECDH:kEDH:-3DES:kRSA+AES128:kEDH+3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2;
    add_header Strict-Transport-Security 'max-age=31536000';

    return 301 https://www.domain.tld$request_uri;

    }
}

server {
    listen 443 ssl http2;
    server_name www.domain.tld;

    ssl_certificate     /etc/nginx/ssl/cert.pem; # сертификат сервера
    ssl_certificate_key /etc/nginx/ssl/key.pem; # ключ сервера
    ssl_dhparam         /etc/nginx/ssl/dhparam.pem; # генерируется командой openssl dhparam 2048
    ssl_stapling_verify on;
    ssl_trusted_certificate /path/to/your_intermediate_CA_and_root_certs; #все промежуточные сертификаты от reg.ru в одном бандле
    resolver 77.88.8.1; # или 127.0.0.1 если используется локальный
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers kEECDH+AES128:kEECDH:kEDH:-3DES:kRSA+AES128:kEDH+3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2;
    add_header Strict-Transport-Security 'max-age=31536000';

    #Далее настройки обратного проксирования
    .........

    }
}

TXT запись зачем? Но в любом случае она указывается в панели управления регистратора (если NS от них) или в панели управления своего Name Server-а

2
  • Все бы хорошо в этом конфиге, но зачем вы указываете человеку на включение http2? - Вы уверены что у него nginx собран с openssl 1.0.2h и у него не отвалятся пользователи, у кого уже >Хром51? (Проблема заключается в том, что поддержка ALPN появилась только в OpenSSL 1.0.2, который ещё почти не используется в популярных серверных дистрибутивах Linux) . И второе - # генерируется командой openssl dhparam 2048 - выполняйте в той папке, где лежат ваши ключи!!!!
    – Sey Dee
    22 июл 2016 в 14:51
  • @sey Ничего плохого не произойдет: Да, в старых openssl нет ALPN, но есть NPN. Поэтому старые клиенты так и будут по http ходить, и... новые тоже (Хром выкинули пожжеркжу NPN с конца мая.). Ну а про dhparam, мне казалось, что это слишком очевидно.
    – Vasiliy
    22 июл 2016 в 14:57
1

С внешним миром у вас общается nginx (то есть, к нему обращаются пользователи), именно его и нужно настраивать. Уверен, вы за один поисковый запрос найдёте инструкцию под вашу версию nginx и операционную систему.

Что касается TXT-записи: она настраивается на DNS-сервере, скорее всего, вы не сами его подняли, а пользуетесь сторонним, поэтому и настраивать нужно там (наверняка есть веб-интерфейс для этого).

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.