Добрый вечер. У меня на сервере всё устроено таким образом, что nginx работает как проксирующий веб-сервер и отдаёт статику, а apache обрабатывает динамику. Я купил SSL-сертификат у reg.ru и теперь я бы хотел настроить его на сервере, но не знаю, что именно мне нужно настраивать - nginx или apache. И как именно я могу указать TXT-запись в конфигах сервера?
2 ответа
TLS шифрование можно и нужно настраивать на фронтэнде (nginx): это быстрее и надежнее. Транспорт между фронтэндом и бэкэндом - apache - будет по-прежнему незашифрованный.
# Редирект на HTTPS
server {
listen 80;
server_name domain.tld www.domain.tld;
return 301 https://www.domain.tld$request_uri;
}
# Редирект HTTPS на www
server {
listen 443 ssl http2;
server_name domain.tld;
ssl_certificate /etc/nginx/ssl/cert.pem; # сертификат сервера
ssl_certificate_key /etc/nginx/ssl/key.pem; # ключ сервера
ssl_dhparam /etc/nginx/ssl/dhparam.pem; # генерируется командой openssl dhparam 2048
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/your_intermediate_CA_and_root_certs; #все промежуточные сертификаты от reg.ru в одном бандле
resolver 77.88.8.1; # или 127.0.0.1 если используется локальный
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers EECDH+AES128:kEECDH:kEDH:-3DES:kRSA+AES128:kEDH+3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2;
add_header Strict-Transport-Security 'max-age=31536000';
return 301 https://www.domain.tld$request_uri;
}
}
server {
listen 443 ssl http2;
server_name www.domain.tld;
ssl_certificate /etc/nginx/ssl/cert.pem; # сертификат сервера
ssl_certificate_key /etc/nginx/ssl/key.pem; # ключ сервера
ssl_dhparam /etc/nginx/ssl/dhparam.pem; # генерируется командой openssl dhparam 2048
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/your_intermediate_CA_and_root_certs; #все промежуточные сертификаты от reg.ru в одном бандле
resolver 77.88.8.1; # или 127.0.0.1 если используется локальный
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers kEECDH+AES128:kEECDH:kEDH:-3DES:kRSA+AES128:kEDH+3DES:DES-CBC3-SHA:!RC4:!aNULL:!eNULL:!MD5:!EXPORT:!LOW:!SEED:!CAMELLIA:!IDEA:!PSK:!SRP:!SSLv2;
add_header Strict-Transport-Security 'max-age=31536000';
#Далее настройки обратного проксирования
.........
}
}
TXT запись зачем? Но в любом случае она указывается в панели управления регистратора (если NS от них) или в панели управления своего Name Server-а
-
Все бы хорошо в этом конфиге, но зачем вы указываете человеку на включение http2? - Вы уверены что у него nginx собран с openssl 1.0.2h и у него не отвалятся пользователи, у кого уже >Хром51? (Проблема заключается в том, что поддержка ALPN появилась только в OpenSSL 1.0.2, который ещё почти не используется в популярных серверных дистрибутивах Linux) . И второе - # генерируется командой openssl dhparam 2048 - выполняйте в той папке, где лежат ваши ключи!!!!– Sey Dee22 июл 2016 в 14:51
-
@sey Ничего плохого не произойдет: Да, в старых openssl нет ALPN, но есть NPN. Поэтому старые клиенты так и будут по http ходить, и... новые тоже (Хром выкинули пожжеркжу NPN с конца мая.). Ну а про dhparam, мне казалось, что это слишком очевидно.– Vasiliy22 июл 2016 в 14:57
С внешним миром у вас общается nginx (то есть, к нему обращаются пользователи), именно его и нужно настраивать. Уверен, вы за один поисковый запрос найдёте инструкцию под вашу версию nginx и операционную систему.
Что касается TXT-записи: она настраивается на DNS-сервере, скорее всего, вы не сами его подняли, а пользуетесь сторонним, поэтому и настраивать нужно там (наверняка есть веб-интерфейс для этого).