Nginx支持SNI证书，已经ssl_server_name的使用

整理了一些网上的资料，这里记录一下，供大家参考

什么是SNI？

    传统的应用场景中，一台服务器对应一个IP地址，一个域名，使用一张包含了域名信息的证书。随着云计算技术的普及，在云中的虚拟机有了一个IP，对应多个域名，使用多张证书的应用场景，SNI技术应运而生。SNI（Server Name Indication），即实现了一个服务器使用多个域名证书的TLS扩展，支持用户配置多个域名证书。

SNI请求特点

    HTTP请求的Host字段在请求的Header中。发起HTTPS请求时，在TLS握手阶段，还无法进行HTTP数据的解析，此时TLS协议的Client Hello字段新增了一个Server Name字段，请求的客户端可以通过这个字段填充请求的Host信息，而服务端在TLS握手阶段就可以选择请求处理的证书，实现SNI的功能。

 各种工具对SNI的支持各种工具对SNI的支持icon-default.png?t=N7T8https://en.wikipedia.org/wiki/Server_Name_Indication

（1）主流的浏览器  可以理解为客户端工具

（2）curl和wget之类的命令行工具  可以理解为客户端工具

curl和nginx关于SNI一些细节

 已知的问题：curl和jdk'版本过低(客户端不支持SNI)','导致'ssl握手的'SNI'问题

 （3）库和编程语言 可以理解为客户端工具

 （4）web服务器 可以理解为服务端

  • 默认SNI是'开启的'

Nginx支持的配置

    Nginx支持SNI，允许在同一个TLS服务端口下，配置不同的域名，用户通过请求不同的证书域名，可返回相应的upstream响应结果。

    本示例配置了一个证书域名为“lwl.test.com”的单向认证代理服务，一个证书域名为“lwl.default.com”的双向认证代理服务，使用相同的443端口，具体配置如下：

# Settings for a TLS enabled server.
    upstream lwl.test.com {
        server 192.168.58.196;
    }

    upstream default {
        server 192.168.58.195;
    }

  server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  lwl.test.com;
        root         /usr/share/nginx/html;

        ssl_certificate /etc/nginx/ssl_sni/server/lwl.test.com/server.crt;
        ssl_certificate_key /etc/nginx/ssl_sni/server/lwl.test.com/server.key;

        ssl_session_cache shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        # Load configuration files for the default server block.
        include /etc/nginx/default.d/*.conf;

        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Cookie $http_cookie;
            proxy_pass http://lwl.test.com;
        }

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }

   server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  lwl.default.com;
        root         /usr/share/nginx/html;

        ssl_certificate /etc/nginx/ssl_sni/server/lwl.default.com/server.crt;
        ssl_certificate_key /etc/nginx/ssl_sni/server/lwl.default.com/server.key;
        ssl_client_certificate /etc/nginx/ssl_sni/private/ca.crt;
        ssl_verify_client on;

        ssl_session_cache shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        # Load configuration files for the default server block.
        include /etc/nginx/default.d/*.conf;

        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Cookie $http_cookie;
            proxy_pass http://default;
        }

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }

单向认证测试

    基于以上配置，使用域名为“lwl.test.com”的证书进行单向认证的HTTPS访问，请求如下：
# curl https://lwl.test.com:443 --cacert /etc/nginx/ssl_sni/private/ca.crt

返回的响应为：


同时对当前的HTTPS请求进行抓包，可以看到，请求TLS握手阶段Client Hello请求中，包含了Server Name为lwl.test.com的字段：

双向认证测试

    基于以上配置，使用域名为“lwl.default.com”的证书进行双向认证的HTTPS访问，请求如下：   

# curl --cert /etc/nginx/ssl_sni/users/client.crt:123456 --key /etc/nginx/ssl_sni/users/client.key 'https://lwl.default.com:443' --cacert /etc/nginx/ssl_sni/private/ca.crt

返回的响应为：

同时对当前的HTTPS请求进行抓包，可以看到，请求TLS握手阶段Client Hello请求中，包含了Server Name为lwl.default.com的字段：  

至此验证了Nginx可同时支持多个TLS证书的功能。

多证书配置

    为支持多个SNI证书，一种Nginx配置文件形式为，每个证书配置单独一个server段，此处以两个单向认证证书，一个双向认证证书为例，配置如下：

# Settings for a TLS enabled server.
    upstream lwl.test.com {
        server 192.168.58.196;
    }

    upstream lwl.test1.com {
        server 192.168.58.194:8081;
    }

    upstream default {
        server 192.168.58.195;
    }

  server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  lwl.test.com;
        root         /usr/share/nginx/html;

        ssl_certificate /etc/nginx/ssl_sni/server/lwl.test.com/server.crt;
        ssl_certificate_key /etc/nginx/ssl_sni/server/lwl.test.com/server.key;

        ssl_session_cache shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        # Load configuration files for the default server block.
        include /etc/nginx/default.d/*.conf;

        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Cookie $http_cookie;
            proxy_pass http://lwl.test.com;
        }

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }

   server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  lwl.test1.com;
        root         /usr/share/nginx/html;

        ssl_certificate /etc/nginx/ssl_sni/server/lwl.test1.com/server.crt;
        ssl_certificate_key /etc/nginx/ssl_sni/server/lwl.test1.com/server.key;

        ssl_session_cache shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        # Load configuration files for the default server block.
        include /etc/nginx/default.d/*.conf;

        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Cookie $http_cookie;
            proxy_pass http://lwl.test1.com;
        }

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }

   server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  lwl.default.com;
        root         /usr/share/nginx/html;

        ssl_certificate /etc/nginx/ssl_sni/server/lwl.default.com/server.crt;
        ssl_certificate_key /etc/nginx/ssl_sni/server/lwl.default.com/server.key;
        ssl_client_certificate /etc/nginx/ssl_sni/private/ca.crt;
        ssl_verify_client on;

        ssl_session_cache shared:SSL:1m;
        ssl_session_timeout  10m;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;

        # Load configuration files for the default server block.
        include /etc/nginx/default.d/*.conf;

        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Cookie $http_cookie;
            proxy_pass http://default;
        }

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }
可以看到，随着加载证书个数的增加，Nginx配置篇幅增长较大，不利于配置维护。

优化的配置方式

    启用了sni的nginx，如下变量会被赋值

$ssl_server_name

默认SNI是'开启的'

检查'nginx server端'是否支持SNI扩展协议：'nginx -V'

      在1.7.0版本开始，Nginx支持通过$ssl_server_name 变量获取TLS中的Server Name，我们可以据此结合map映射指令，提升配置的重用度，一种优化后的配置方式如下：

例子1：

# Settings for a TLS enabled server.
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    map $ssl_server_name $ssl_string {
        lwl.test.com lwl.test.com;
        lwl.test1.com lwl.test1.com;
        default lwl.default.com;
    }

    upstream lwl.test.com {
        server 192.168.58.196;
    }

    upstream lwl.test1.com {
        server 192.168.58.194:8081;
    }

    upstream lwl.default.com {
        server 192.168.58.195;
    }

  server {
        listen       443 ssl;
        listen       [::]:443 ssl;
        server_name  $ssl_string;
        root         /usr/share/nginx/html;

        ssl_certificate /etc/nginx/ssl_sni/server/$ssl_string/server.crt;
        ssl_certificate_key /etc/nginx/ssl_sni/server/$ssl_string/server.key;

        include /etc/nginx/default.d/*.conf;

        location / {
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header Cookie $http_cookie;
            proxy_pass http://$ssl_string;
        }

        error_page 404 /404.html;
            location = /40x.html {
        }

        error_page 500 502 503 504 /50x.html;
            location = /50x.html {
        }
    }

例子2：

stream {upstream test {server 127.0.0.1:50001;}  map $ssl_server_name $sni_string {test1.www.local test1;test2.www.local test2;test3.www.local test3;default test1;}map $ssl_server_name $sni_string445 {test1.www.local test4451;test2.www.local test4452;test3.www.local test4453;default test4451;}server {listen 444 ssl;ssl_certificate /data/sni/sni_${sni_string}.cer;ssl_certificate_key /data/sni/sni_${sni_string}.key;proxy_pass test;}server {listen 445 ssl;ssl_certificate /data/sni445/sni_${sni_string445}.cer;ssl_certificate_key /data/sni445/sni_${sni_string445}.key;proxy_pass test;}}

注意，如果希望map命令支持host的最长匹配与正则，需要再添加hostnames关键字。

Module ngx_http_map_module

map命令的本质，可以理解为通过旧的变量定义出了一个新的变量。

 模拟tcp客户端的方法：

openssl s_client -connect t9:5000 -CAfile ~/Keys/https/root/root.cer -servername test2.www.local

[openssl][nginx] 使用openssl模拟ssl/tls客户端测试nginx stream

模拟http客户端的方法：

curl --cacert ~/Keys/https/root/root.cer -vvvv  https://test1.tls.local/
curl --cacert ~/Keys/https/root/root.cer -vvvv  https://test2.tls.local/
curl --cacert ~/Keys/https/root/root.cer -vvvv  https://test3.tls.local/
curl --cacert ~/Keys/https/root/root.cer -vvvv  https://test3.www.local/

结束语

    本文通过结合Nginx的 $ssl_server_name 变量与map指令，提供了一种支持多个SNI证书配置的实现方式，提高了配置维护的重用度。


参考

https://www.nginx.org.cn/article/detail/12416
https://www.cnblogs.com/hugetong/p/11727275.htmlhttps://blog.csdn.net/wzj_110/article/details/110149984

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/98514.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

怎么压缩图片？图片压缩技巧快学来

怎么压缩图片？图片压缩技巧快学来

在数字时代，我们常常需要处理各种类型的文件，包括图片，然而，图片文件往往占用大量空间，尤其是在传输和存储时，为了解决这个问题，我们可以使用图片压缩工具来减小图片的体积，提高传输…
阅读更多...
面试算法22：链表中环的入口节点（1）

面试算法22：链表中环的入口节点（1）

题目 如果一个链表中包含环，那么应该如何找出环的入口节点？从链表的头节点开始顺着next指针方向进入环的第1个节点为环的入口节点。 例如，在如图4.3所示的链表中，环的入口节点是节点3。 分析 第1步：确认是否包含环…
阅读更多...
ES系列十二、ES的scroll Api及分页实例

ES系列十二、ES的scroll Api及分页实例

1.官方api 1.Scroll概念 Version：6.1 英文原文地址：Scroll 当一个搜索请求返回单页结果时，可以使用 scroll API 检索体积大量（甚至全部）结果，这和在传统数据库中使用游标的方式非常相似。 不要把 scroll 用…
阅读更多...
无法向会话状态服务器发出会话状态请求。请确保 ASP.NET State Service (ASP.NET 状态服务)已启动，并且客户端端口与服务器端口相同

无法向会话状态服务器发出会话状态请求。请确保 ASP.NET State Service (ASP.NET 状态服务)已启动，并且客户端端口与服务器端口相同

“/”应用程序中的服务器错误。 无法向会话状态服务器发出会话状态请求。请确保 ASP.NET State Service (ASP.NET 状态服务)已启动，并且客户端端口与服务器端口相同。如果服务器位于远程计算机上，请检查 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Se…
阅读更多...
【算法设计与分析】— —实现活动安排问题的贪心算法。

【算法设计与分析】— —实现活动安排问题的贪心算法。

🎃欢迎大家前去观看我的算法设计与分析专栏： 算法设计与分析_IT闫的博客-CSDN博客 希望对大家有所帮助！ 🎃个人专栏： 🐬 算法设计与分析：算法设计与分析_IT闫的博客-CSDN博客 🐳Java…
阅读更多...
RFID系统简介：优点、应用与发展前景

RFID系统简介：优点、应用与发展前景

一、介绍RFID系统 RFID系统全称是Radio Frequency Identification，是一种通过电磁场自动识别标记（Tag或RFID标签）并读取相关数据的技术。与条形码技术相比，RFID系统最大的特点就是可以自动识别、无须接触扫描，并且可以…
阅读更多...
简单对比一下 C 与 Go 两种语言

简单对比一下 C 与 Go 两种语言

使用一个简单的计数程序将古老的 C 语言与现代 Go 进行比较。 Go 是一种现代编程语言，追溯其历史大部分源自编程语言 C。所以，任何熟悉 C 语言的开发者都可能会觉得 Go 很熟悉。C 程序员使用 Go 编写新程序变得容易，同时避免了 C 编程语言的…
阅读更多...
QML 带框最大化显示方法

QML 带框最大化显示方法

1.QML窗口最大化很多会给出如下方法: visibility: "FullScreen" 此方法不好的方面是没有最大化，最小化，关闭按钮 2.通过showMaximized() 方法可以满足我们需求:在onCompleted 方法中执行 实现的效果如下:
阅读更多...
QT基础入门——界面布局和常用控件（四）

QT基础入门——界面布局和常用控件（四）

前言： 所谓 GUI 界面，归根结底，就是一堆组件的叠加。我们创建一个窗口，把按钮放上面，把图标放上面，这样就成了一个界面。在放置时，组件的位置尤其重要。我们必须要指定组件放在哪里&#xff0c…
阅读更多...
改变世界-生成式人工智能

改变世界-生成式人工智能

麦肯锡在其《生成人工智能的经济潜力：下一个生产力前沿》中声称，“ChatGPT、GitHub Copilot、Stable Diffusion 等生成式人工智能应用程序以 AlphaGo 没有的方式吸引了世界各地人们的想象力，这要归功于它们广泛的实用性——几乎任何人都可以使…
阅读更多...
动态代理初步了解

动态代理初步了解

准备案例 需求 模拟某企业用户管理业务，需包含用户登录，用户删除，用户查询功能，并要统计每个功能的耗时。 分析与实现 定义一个UserService表示用户业务接口，规定必须完成用户登录，用户删除&#xff0c…
阅读更多...
2019年[海淀区赛 第2题] 阶乘

2019年[海淀区赛 第2题] 阶乘

题目描述 n的阶乘定义为n!n*(n -1)* (n - 2)* ...* 1。n的双阶乘定义为n!!n*(n -2)* (n -4)* ...* 2或n!!n(n - 2)*(n - 4)* ...* 1取决于n的奇偶性，但是阶乘的增长速度太快了，所以我们现在只想知道n!和n!!末尾的的个数 输入格式 一个正整数n &#xff…
阅读更多...
华为OD七日集训第7期 - 按算法分类，由易到难，循序渐进，玩转OD

华为OD七日集训第7期 - 按算法分类，由易到难，循序渐进，玩转OD

目录 一、适合人群二、本期训练时间三、如何参加四、7日集训第7期五、精心挑选21道高频100分经典题目，作为入门。第1天、逻辑分析第2天、字符串处理第3天、数据结构第4天、递归回溯第5天、二分查找第6天、深度优先搜索dfs算法第7天、动态规划 六、集训总结 大家好&a…
阅读更多...
基于Stable Diffusion的图像合成数据集

基于Stable Diffusion的图像合成数据集

当前从文本输入生成合成图像的模型不仅能够生成非常逼真的照片，而且还能够处理大量不同的对象。 在论文“评估使用稳定扩散生成的合成图像数据集”中，我们使用“稳定扩散”模型来研究哪些对象和类型表现得如此逼真，以便后续图像分类正确地分配…
阅读更多...
【C++】Stack Queue -- 详解

【C++】Stack Queue -- 详解

一、stack的介绍和使用 1、stack的介绍 https://cplusplus.com/reference/stack/stack/?kwstack 1. stack 是一种容器适配器，专门用在具有后进先出操作的上下文环境中，其删除只能从容器的一端进行元素的插入与提取操作。 2. stack 是作为容器适配器被…
阅读更多...
Docker Mysql实战：docker compose 搭建Mysql

Docker Mysql实战：docker compose 搭建Mysql

1、docker-compose-mysql文件准备 进入/home/docker目录，新建docker-compose-mysql.yml文件，内容如下： version: 3.0 services:mysql:image: "mysql:5.7"container_name: "mysql"environment:MYSQL_ROOT_PASSWORD: &q…
阅读更多...
Java中树形菜单的实现方式（超全详解！）

Java中树形菜单的实现方式（超全详解！）

前言 这篇文中，我一共会用两种方式来实现目录树的数据结构，两种写法逻辑是一样的，只是一种适合新手理解，一种看着简单明了但是对于小白不是很好理解。在这里我会很详细的讲解每一步代码，主要是方便新人看懂&#xff0…
阅读更多...
从0开始python学习-31.selenium 文本输入框、下拉选择框、文件上传、时间插件选择元素定位

从0开始python学习-31.selenium 文本输入框、下拉选择框、文件上传、时间插件选择元素定位

目录 1. 纯文本输入框 2. 存在默认值的文本输入 3. 下拉选择框 4. 输入后下拉选择框 5. 文件上传 6. 时间插件 1. 纯文本输入框 driver.find_element(By.XPATH,/html/body/div[2]/td[2]/input).send_keys(测试名称) 2. 存在默认值的文本输入 注意： 1. 这种存…
阅读更多...
AQS内部的体系架构

AQS内部的体系架构

AQS本质上是一个双向队列，加一个状态位state。内部靠Node节点形成队列。 AQS由state和CLH变体的虚拟双端队列组成。 AQS的内部类Node类 属性说明： 内部结构：
阅读更多...
上门按摩小程序｜同城上门按摩软件开发｜上门按摩系统；

上门按摩小程序｜同城上门按摩软件开发｜上门按摩系统；

上门按摩小程序的开发具有许多优势，下面就给大家介绍下按摩小程序功能: 上门按摩小程序的优势 方便快捷：上门按摩小程序提供在线预约服务，用户可以通过手机随时随地预约按摩师上门服务，避免了传统预约方式的繁琐和不确定性。 个性…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023