Nginx的客户端/服务端双向SSL证书认证配置
1，准备工作：安装openssl和nginx（注意使用编译选项--with-http_ssl_module 支持ssl）
2，根证书
new_ca.sh 这个脚本会建立一个demoCA的目录以及根证书文件，后面都会用到做证书的签署
#!/bin/sh
/usr/local/ssl/misc/CA.sh -newca
3，服务端证书
new_server.sh 这个脚本建立服务端证书和私钥，并签署证书
#!/bin/sh
#生成密钥
openssl genrsa -des3 -out server.key 2048
#生成证书签名请求文件
openssl req -new -key server.key -out newreq.pem -days 365
#进行签证
./CA.sh -sign
#最终服务端证书
mv newcert.pem server.crt
4，客户端证书
new_client.sh 这个脚本建立客户端证书和私钥，并签署证书
#!/bin/sh
#客户端：
#生成密钥
openssl genrsa -des3 -out client.key 2048
#生成证书签名请求文件
openssl req -new -key client.key -out client.csr
#签署客户端证书
openssl ca -in client.csr -out client.crt
#创建pkcs12文件
openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.pfx
cp demoCA/cacert.pem ca.crt
在证书生成过程中需要输入一些资料，有几项是需要与根证书匹配的
countryName = match
stateOrProvinceName = match
organizationName = match
organizationalUnitName = match
5，nginx配置
# HTTPS server
#
server {
listen 443;
server_name localhost;
# 打开ssl
ssl on;
# 服务器证书 //目录根据你生成证书时的情况决定
ssl_certificate /etc/ssl/private/server.crt;
# 服务器证书公钥
ssl_certificate_key /etc/ssl/private/server.key;
# 客户端证书签名
ssl_client_certificate /etc/ssl/private/ca.crt;
# ssl session 超时
ssl_session_timeout 5m;
# 打开SSL客户端校验 (双向证书检测)
ssl_verify_client on;
#ssl_protocols SSLv2 SSLv3 TLSv1;
#ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
ssl_prefer_server_ciphers on;
location / {
root /var/www/nginx-default;
index index.html index.htm;
}
6，浏览器配置
根据浏览器的不同，导入client.pfx
