Сертификаты SSL. Устанавливаем на Nginx

Первым делом необходимо сгенерировать SCR-запрос через панель управления Lincore. После этого запроса, а также после выбора необходимого сертификата, следующим логическим шагом будет установка сертификатов .CRT и .CA. Давайте подробнее остановимся на том, как устанавливать эти сертификаты на серверы Nginx и Unix-системы Ubuntu, CentOS или Debian.

Итак, после выполнения вышеперечисленных действий в разделе SSL, расположенном в панели управления Lincore, находятся два файла .CA и .CRT.

Файлы .CA и .CRT необходимо отправить на сервер. Часто Linux-серверы администрируют через терминал и GUI может отсутствовать. В этом случае можно отправить файлы на машину с другой ОС, а затем их перенести. Ниже мы расскажем, как это можно осуществить.

Важно: пара (закрытый и открытый ключи) должна быть сгенерирована там, куда устанавливаются сами сертификаты. Однако если они были созданы на другом компьютере, на ваш сервер следует отправить закрытый ключ (файл .key), в соответствии с описанными ниже действиями по копированию.

В данном случае самым простым вариантом будет воспользоваться встроенной опцией терминала – SCP:

1. Файлы .CA и .CRT скачиваются из панели Lincore на ваш компьютер.
2. Открываем терминал и переходим в место скачивания сертификатов, например:

cd ~/MyDownloadedFiles

Загружаем все выданные сертификаты на веб-сервер:

scp yourtest.com_crt.crt yourtest.com_ca.crt login@121.122.222.111:/etc/ssl

Первый шаг – устанавливаем клиент WinSCP. Скачать его можно по ссылке.

Запускаем. Откроется окно, куда необходимо ввести параметры подключения по протоколу SSH.

Слева вы увидите папки и файлы локальной машины, справа — файлы рабочего сервера, к которому подключились. Следует выбрать (либо создать, если такового нет) место, куда отправятся сертификаты. Используя функцию drag-n-drop, зажав левую клавишу мышки, переносите файлы .CA и .CRT.

Чтобы сделать копию .key и отправить в иную директорию, в случае генерации закрытого ключа на сервере, можно воспользоваться командой:

cp /home/root/private.key /etc/ssl/private.key

Можно воспользоваться командой и удалить ключ в старой директории:

rm /home/root/private.key

Когда вы сделали копии всех необходимых сертификатов, нужно сконфигурировать Nginx. Чтобы это сделать, заходим через SSH под root-ом и делаем следующее:

1. .CA (файл центра сертификации), а также .CRT (файл сайта) преобразовываем в один:

cat /etc/ssl/testdomain.com_crt.crt /etc/ssl/testdomain.com_ca.crt >> testdomain.crt

2. Открываем файл с настройками ресурса, для которого необходим сертификат SSL. Ниже пример, когда параметры находятся по адресу /etc/nginx/sites-enabled/files:

nano /etc/nginx/sites-enabled/files

Далее, используя утилиту nano, открываем выбранный файл (например, nano /etc/nginx/websites-enabled/file). Узнать, тот ли файл мы нашли, можно внутри server_name. Значение этой строки необходимо заменить на домен, куда устанавливается сертификат (например, website.com).

Добавьте параметры из примера к вашей конфигурации:

listen 443 ssl;
ssl_certificate /etc/ssl/testdomain.crt;
ssl_certificate_key /etc/ssl/test.key;

Сделаем рестарт:

Рестарт на Debian и Ubuntu:

/etc/init.d/nginx restart

Рестарт на CentOS:

service nginx restart

Допустим, у вас есть настроенный iptables firewall. В этом случае следует открыть 443 порт. Просто обратитесь к документации той системы, которую используете. Различные дистрибутивы Linux могут работать с iptables по-своему. Вот пара примеров:

Для CentOS пишем:

iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

Ubuntu 16.04 более лаконичен:

ufw allow 443/tcp

В Debian пишем следующее:

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT

После всех проведенных манипуляций на вашем Apache имеются готовые сертификаты SSL. Дабы удостовериться в правильности всех конфигураций, откройте ваш ресурс через любой браузер, добавив к адресу сайта (например, http://yourwebsite.com) букву s, чтобы получилось так: https://yourwebsite.com. Если вы сделали всё правильно, возле URL-адреса сайта будет отображен «замок». Если вы нажмете на замок, то получите информацию об SSL-сертификате.