Nginx ssl auth - История изменений

Sirmax в 14:30, 26 сентября 2022

2022-09-26T14:30:03Z

← Предыдущая		Версия 14:30, 26 сентября 2022
Строка 1:		Строка 1:
		+	[[Категория:nginx]]
		+	[[Категория:SSL]]
		+
	=Авторизация клиентов в nginx посредством SSL сертификатов=		=Авторизация клиентов в nginx посредством SSL сертификатов=

Sirmax: /* Подготовка CA */

2014-03-11T17:40:27Z

Подготовка CA

← Предыдущая		Версия 17:40, 11 марта 2014
Строка 95:		Строка 95:

	===Подготовка CA===		===Подготовка CA===
		+	Обратить внимаени - Common Name на клиенте не должно совпадать с серверным:
		+	<PRE>
		+	I had the same problem (under Nginx). Solution was to make my client common name something other than the server's certs common name. Originally I thought that my cert CN had to match the FQDN of the server cert.
		+	</PRE>
		+	Иначе - серетфикат работать на будет.
		+

	Создадим конфиг ca.config со следующим содержимым:		Создадим конфиг ca.config со следующим содержимым:
Строка 136:		Строка 142:
	echo "01" > db/serial		echo "01" > db/serial
	</PRE>		</PRE>
−

	===Создание клиентского закрытого ключа и запроса на сертификат (CSR)===		===Создание клиентского закрытого ключа и запроса на сертификат (CSR)===

Sirmax: /* Подключение к полученному ssl cерверу с помощью curl */

2014-03-11T17:38:30Z

Подключение к полученному ssl cерверу с помощью curl

← Предыдущая		Версия 17:38, 11 марта 2014
Строка 175:		Строка 175:

	Использована опция -k, потому что сертификат в примере самоподписанный		Использована опция -k, потому что сертификат в примере самоподписанный
		+	=Ссылки=
		+	* http://blog.nategood.com/client-side-certificate-authentication-in-ngi

Sirmax: /* Создание клиентского закрытого ключа и запроса на сертификат (CSR) */

2014-03-11T14:47:55Z

Создание клиентского закрытого ключа и запроса на сертификат (CSR)

← Предыдущая		Версия 14:47, 11 марта 2014
Строка 142:		Строка 142:
	Для создания подписанного клиентского сертификата предварительно необходимо создать запрос на сертификат, для его последующей подписи. Аргументы команды полностью аналогичны аргументам использовавшимся при создании самоподписанного доверенного сертификата, но отсутсвует параметр -x509.		Для создания подписанного клиентского сертификата предварительно необходимо создать запрос на сертификат, для его последующей подписи. Аргументы команды полностью аналогичны аргументам использовавшимся при создании самоподписанного доверенного сертификата, но отсутсвует параметр -x509.
	<PRE>		<PRE>
−	openssl req -new -newkey rsa:1024 -nodes -keyout client01.key -subj /C=RU/ST=~~Moscow~~/L=~~Moscow~~/O=~~Companyname~~/OU=User/CN=etc/emailAddress=~~support~~@~~site~~.com -out client01.csr	+	openssl req -new -newkey rsa:1024 -nodes -keyout client01.key -subj /C=RU/ST=Kharkov/L=Kharkov/O=MirantisInc/OU=User/CN=etc/emailAddress=sirmax@noname.com.ua -out client01.csr
	</PRE>		</PRE>

Sirmax: /* Конфиг nginx */

2014-03-11T14:19:15Z

Конфиг nginx

← Предыдущая		Версия 14:19, 11 марта 2014
Строка 77:		Строка 77:
	fastcgi_param SSL_CLIENT_CERT $ssl_client_cert;		fastcgi_param SSL_CLIENT_CERT $ssl_client_cert;
	fastcgi_param SSL_DN $ssl_client_s_dn;		fastcgi_param SSL_DN $ssl_client_s_dn;
−	<PRE>	+	</PRE>

Sirmax: /* Сертификат сервера */

2014-03-11T13:46:52Z

Сертификат сервера

← Предыдущая		Версия 13:46, 11 марта 2014
Строка 43:		Строка 43:
	<PRE>		<PRE>
	openssl genrsa -des3 -out server.key 1024		openssl genrsa -des3 -out server.key 1024
−	<PRE>	+	</PRE>
	Пароль например q1w2e3		Пароль например q1w2e3
	<PRE>		<PRE>
Строка 53:		Строка 53:
	<PRE>		<PRE>
	openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt		openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt
−	<PRE>	+	</PRE>

Sirmax: /* Сертификат сервера */

2014-03-11T13:40:19Z

Сертификат сервера

← Предыдущая		Версия 13:40, 11 марта 2014
Строка 43:		Строка 43:
	<PRE>		<PRE>
	openssl genrsa -des3 -out server.key 1024		openssl genrsa -des3 -out server.key 1024
		+	<PRE>
		+	Пароль например q1w2e3
		+	<PRE>
	openssl req -new -key server.key -out server.csr		openssl req -new -key server.key -out server.csr
	</PRE>		</PRE>

Sirmax: /* Шаг 2. Сертификат сервера */

2014-03-11T13:35:40Z

Шаг 2. Сертификат сервера

← Предыдущая		Версия 13:35, 11 марта 2014
Строка 39:		Строка 39:
	Данные сертификата, пары параметр=значение, перечисляются через ‘/’. Символы в значении параметра могут быть «подсечены» с помощью обратного слэша «\», например «O=My\ Inc». Также можно взять значение аргумента в кавычки, например, -subj «/xx/xx/xx».		Данные сертификата, пары параметр=значение, перечисляются через ‘/’. Символы в значении параметра могут быть «подсечены» с помощью обратного слэша «\», например «O=My\ Inc». Также можно взять значение аргумента в кавычки, например, -subj «/xx/xx/xx».

−	==~~Шаг 2.~~ Сертификат сервера==	+	==Сертификат сервера==
	Создадим сертификат для nginx и запрос для него		Создадим сертификат для nginx и запрос для него
	<PRE>		<PRE>
Строка 57:		Строка 57:
	openssl rsa -in server.key -out server.nopass.key		openssl rsa -in server.key -out server.nopass.key
	</PRE>		</PRE>
−

	==Конфиг nginx==		==Конфиг nginx==

Sirmax: /* Шаг 1. Создание собственного самоподписанного доверенного сертификата. */

2014-03-11T13:30:02Z

Шаг 1. Создание собственного самоподписанного доверенного сертификата.

← Предыдущая		Версия 13:30, 11 марта 2014
Строка 18:		Строка 18:


−	==~~Шаг 1.~~ Создание собственного самоподписанного доверенного сертификата.==	+	==Создание собственного самоподписанного доверенного сертификата.==
	<BR>		<BR>
	Собственный доверенный сертификат (Certificate Authority или CA) необходим для подписи клиентских сертификатов и для их проверки при авторизации клиента веб-сервером.		Собственный доверенный сертификат (Certificate Authority или CA) необходим для подписи клиентских сертификатов и для их проверки при авторизации клиента веб-сервером.

Sirmax: /* Шаг 2. Сертификат сервера */

2014-03-11T13:28:57Z

Шаг 2. Сертификат сервера

← Предыдущая		Версия 13:28, 11 марта 2014
Строка 41:		Строка 41:
	==Шаг 2. Сертификат сервера==		==Шаг 2. Сертификат сервера==
	Создадим сертификат для nginx и запрос для него		Создадим сертификат для nginx и запрос для него
		+	<PRE>
−
	openssl genrsa -des3 -out server.key 1024		openssl genrsa -des3 -out server.key 1024
	openssl req -new -key server.key -out server.csr		openssl req -new -key server.key -out server.csr
		+	</PRE>
−


	Подпишем сертификат нашей же собственной подписью		Подпишем сертификат нашей же собственной подписью
		+	<PRE>
−
	openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt		openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out server.crt
		+	<PRE>
−


	Чтобы nginx при перезагрузке не спрашивал пароль, сделаем для него беспарольную копию сертификата		Чтобы nginx при перезагрузке не спрашивал пароль, сделаем для него беспарольную копию сертификата
		+	<PRE>
−
	openssl rsa -in server.key -out server.nopass.key		openssl rsa -in server.key -out server.nopass.key
		+	</PRE>


		⚫	==Конфиг nginx==
−
		+	<PRE>
⚫	Конфиг nginx
−
	listen *:443;		listen *:443;
	ssl on;		ssl on;
Строка 67:		Строка 67:
	ssl_client_certificate /path/to/nginx/ssl/ca.crt;		ssl_client_certificate /path/to/nginx/ssl/ca.crt;
	ssl_verify_client on;		ssl_verify_client on;
		+	</PRE>
−
		+	Это уже по необходимости
		+	<PRE>
	keepalive_timeout 70;		keepalive_timeout 70;
	fastcgi_param SSL_VERIFIED $ssl_client_verify;		fastcgi_param SSL_VERIFIED $ssl_client_verify;
Строка 73:		Строка 75:
	fastcgi_param SSL_CLIENT_CERT $ssl_client_cert;		fastcgi_param SSL_CLIENT_CERT $ssl_client_cert;
	fastcgi_param SSL_DN $ssl_client_s_dn;		fastcgi_param SSL_DN $ssl_client_s_dn;
		+	<PRE>
−


Строка 80:		Строка 82:

	Однако если вы попытаетесь зайти на сайт, он выдаст ошибку:		Однако если вы попытаетесь зайти на сайт, он выдаст ошибку:
		+	<PRE>
−
	400 Bad Request		400 Bad Request
	No required SSL certificate was sent		No required SSL certificate was sent
		+	</PRE>
−


	Что ж, логично, в этом-то и вся соль!		Что ж, логично, в этом-то и вся соль!

−	~~Шаг 3.~~ Создание клиентских сертификатов	+	==Создание клиентских сертификатов==

−	~~3.1~~ Подготовка CA	+	===Подготовка CA===
−
−	Создадим конфиг
−	nano ca.config
−
⚫	со следующим содержимым:

		⚫	Создадим конфиг ca.config со следующим содержимым:
		+	<PRE>
	[ ca ]		[ ca ]
	default_ca = CA_CLIENT # При подписи сертификатов # использовать секцию CA_CLIENT		default_ca = CA_CLIENT # При подписи сертификатов # использовать секцию CA_CLIENT
Строка 124:		Строка 123:
	commonName = optional		commonName = optional
	emailAddress = optional		emailAddress = optional
		+	</PRE>
−


	Далее надо подготовить структуру каталогов и файлов, соответсвующую описанной в конфигурационном файле		Далее надо подготовить структуру каталогов и файлов, соответсвующую описанной в конфигурационном файле
		+	<PRE>
−
	mkdir db		mkdir db
	mkdir db/certs		mkdir db/certs
Строка 134:		Строка 133:
	touch db/index.txt		touch db/index.txt
	echo "01" > db/serial		echo "01" > db/serial
		+	</PRE>


		⚫	===Создание клиентского закрытого ключа и запроса на сертификат (CSR)===
−
⚫	~~3.2.~~ Создание клиентского закрытого ключа и запроса на сертификат (CSR)

	Для создания подписанного клиентского сертификата предварительно необходимо создать запрос на сертификат, для его последующей подписи. Аргументы команды полностью аналогичны аргументам использовавшимся при создании самоподписанного доверенного сертификата, но отсутсвует параметр -x509.		Для создания подписанного клиентского сертификата предварительно необходимо создать запрос на сертификат, для его последующей подписи. Аргументы команды полностью аналогичны аргументам использовавшимся при создании самоподписанного доверенного сертификата, но отсутсвует параметр -x509.
		+	<PRE>
−
	openssl req -new -newkey rsa:1024 -nodes -keyout client01.key -subj /C=RU/ST=Moscow/L=Moscow/O=Companyname/OU=User/CN=etc/emailAddress=support@site.com -out client01.csr		openssl req -new -newkey rsa:1024 -nodes -keyout client01.key -subj /C=RU/ST=Moscow/L=Moscow/O=Companyname/OU=User/CN=etc/emailAddress=support@site.com -out client01.csr
		+	</PRE>
−


	В результате выполнения команды появятся два файла client01.key и client01.csr.		В результате выполнения команды появятся два файла client01.key и client01.csr.

−	~~3.3.~~ Подпись запроса на сертификат (CSR) с помощью доверенного сертификата (CA).	+	===Подпись запроса на сертификат (CSR) с помощью доверенного сертификата (CA).===

	При подписи запроса используются параметры заданные в файле ca.config		При подписи запроса используются параметры заданные в файле ca.config
		+	<PRE>
−
	openssl ca -config ca.config -in client01.csr -out client01.crt -batch		openssl ca -config ca.config -in client01.csr -out client01.crt -batch
		+	</PRE>
−


Строка 159:		Строка 158:
	Для создания следующих сертификатов нужно повторять эти два шага.		Для создания следующих сертификатов нужно повторять эти два шага.

−	~~3.4.~~ Создание сертификата в формате PKCS#12 для браузера клиента	+	===Создание сертификата в формате PKCS#12 для браузера клиента===
	Это на тот случай, если к вашему серверу подключаются не бездушные машины, как в моём случае, а живые люди через браузер.		Это на тот случай, если к вашему серверу подключаются не бездушные машины, как в моём случае, а живые люди через браузер.
	Запароленный файл PKCS#12 надо скормить браузеру, чтобы он смог посещать ваш сайт.		Запароленный файл PKCS#12 надо скормить браузеру, чтобы он смог посещать ваш сайт.
		+	<PRE>
−
	openssl pkcs12 -export -in client01.crt -inkey client01.key -certfile ca.crt -out client01.p12 -passout pass:q1w2e3		openssl pkcs12 -export -in client01.crt -inkey client01.key -certfile ca.crt -out client01.p12 -passout pass:q1w2e3
		+	</PRE>


		⚫	===Подключение к полученному ssl cерверу с помощью curl===
−
		+	<PRE>
⚫	~~3.5~~ Подключение к полученному ssl cерверу с помощью curl
−
	curl -k --key client.key --cert client1.crt --url "https://site.com"		curl -k --key client.key --cert client1.crt --url "https://site.com"
		+	</PRE>
−