深入理解Nginx-以实际http通信例子改造带ssl配Nginx的实战-优雅草卓伊凡|麻子

SSL/TLS在Nginx中的底层实现原理

Nginx的SSL模块架构

Nginx通过ngx_http_ssl_module模块实现SSL/TLS功能，该模块基于OpenSSL库构建。根据Nginx官方文档，SSL模块在Nginx架构中的位置如下：

SSL握手过程详解

当客户端访问HTTPS服务时，Nginx会执行完整的TLS握手流程（以TLS 1.2为例）：

  1. ClientHello：客户端发送支持的SSL/TLS版本、加密套件列表和随机数
  2. ServerHello：Nginx选择加密套件并发送服务器随机数
  3. 证书交换：Nginx发送服务器证书（配置在ssl_certificate）
  4. 密钥交换：根据加密套件进行密钥协商（如ECDHE交换）
  5. 会话建立：双方生成主密钥，开始加密通信

根据Cloudflare的2023年统计数据，完整的TLS 1.2握手平均需要2次往返（约300-400ms），而TLS 1.3只需1次往返（约100-200ms）。

HTTP与HTTPS的核心区别

协议层对比

特性

HTTP

HTTPS

默认端口

80

443

传输加密

明文

SSL/TLS加密

协议栈

TCP -> HTTP

TCP -> SSL/TLS -> HTTP

性能开销

低

中高（CPU消耗增加15-20%）

安全性

易受窃听和篡改

提供加密/身份验证/完整性保护

SEO影响

Google降权

搜索排名提升（来源：Google SEO指南2023）

头部信息处理差异

在代理场景下，HTTPS需要特别注意头部处理：

关键区别点：

  1. X-Forwarded-Proto需要显式设置为https
  2. 原始客户端IP需要通过特定头部传递
  3. 需要处理证书验证相关头部

配置转换实战：从HTTP到HTTPS

原始HTTP配置分析

原始配置处理三个路径：

  • /mp → 8093端口
  • /public → 8093端口
  • / → 8092端口
server {listen 80;listen 8094;location /mp {proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_pass http://127.0.0.1:8093;}location /public {proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_pass http://127.0.0.1:8093;}location / {proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_pass http://127.0.0.1:8092;}
}

完整HTTPS改造方案

基础HTTPS配置
# HTTP重定向到HTTPS（强制安全连接）
server {listen 80;listen 8094;server_name example.com;# 301永久重定向return 301 https://$host$request_uri;
}# 主HTTPS服务器配置
server {listen 443 ssl http2;listen [::]:443 ssl http2;server_name example.com;# 证书配置（假设使用Let's Encrypt）ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;# 安全协议配置（禁用不安全的旧协议）ssl_protocols TLSv1.2 TLSv1.3;# 现代加密套件（根据Mozilla推荐配置）ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';ssl_prefer_server_ciphers on;# 会话缓存优化ssl_session_cache shared:SSL:10m;ssl_session_timeout 1d;ssl_session_tickets off;# OCSP Stapling（提高验证效率）ssl_stapling on;ssl_stapling_verify on;resolver 8.8.8.8 8.8.4.4 valid=300s;# 安全头部（增强防护）add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";add_header X-Frame-Options DENY;add_header X-Content-Type-Options nosniff;add_header X-XSS-Protection "1; mode=block";# 原始location配置增强location /mp {proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;  # 新增HTTPS标识proxy_pass http://127.0.0.1:8093;# 增强HTTPS代理设置proxy_ssl_server_name on;proxy_redirect off;}location /public {proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;proxy_pass http://127.0.0.1:8093;# 缓存控制示例proxy_cache my_cache;proxy_cache_valid 200 302 10m;}location / {proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;proxy_pass http://127.0.0.1:8092;# WebSocket支持示例proxy_http_version 1.1;proxy_set_header Upgrade $http_upgrade;proxy_set_header Connection "upgrade";}# 静态资源优化配置location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {expires 365d;add_header Cache-Control "public, no-transform";}
}
关键改造点说明
  1. 证书配置：
    • ssl_certificate必须包含完整证书链
    • 私钥文件权限应设为600（仅root可读）
  1. 协议升级：
    • 新增http2参数提升性能（HTTP/2需要HTTPS）
    • 强制所有HTTP请求跳转到HTTPS
  1. 代理头部增强：
    • 新增X-Forwarded-Proto标识原始协议
    • 保留原始IP信息的同时标明加密状态
  1. 安全加固：
    • HSTS头部防止SSL剥离攻击
    • 现代加密套件配置（根据SSL Labs评分A+）
  1. 性能优化：
    • 会话缓存减少握手开销
    • OCSP Stapling加速证书状态检查

高级配置技巧

混合内容解决方案

当后端服务同时提供HTTP和HTTPS内容时：

location /mixed-content {proxy_pass http://backend;sub_filter 'http://' 'https://';sub_filter_once off;sub_filter_types *;
}

证书自动续期

使用Certbot实现自动化管理：

# 安装Certbot
sudo apt install certbot python3-certbot-nginx# 获取证书（Nginx插件模式）
sudo certbot --nginx -d example.com -d www.example.com# 设置自动续期
sudo crontab -e
# 添加以下内容：
0 12 * * * /usr/bin/certbot renew --quiet

多域名配置

使用SNI（Server Name Indication）支持多个HTTPS域名：

server {listen 443 ssl;server_name domain1.com;ssl_certificate /path/to/domain1.crt;ssl_certificate_key /path/to/domain1.key;# ...其他配置
}server {listen 443 ssl;server_name domain2.com;ssl_certificate /path/to/domain2.crt;ssl_certificate_key /path/to/domain2.key;# ...其他配置
}

性能监控与调优

SSL性能指标

根据Datadog的2023年Nginx性能报告，关键指标包括：

指标名称

健康阈值

监控方法

SSL握手时间

<500ms

$ssl_handshake_time

会话重用率

>70%

ssl_session_cache

统计

TLS 1.3占比

>80%

访问日志分析

证书过期时间

>30天

定期检查脚本

调优参数示例

# 优化SSL缓冲区大小
ssl_buffer_size 8k;# 调整SSL会话缓存
ssl_session_cache shared:SSL:50m;
ssl_session_timeout 4h;# 启用TLS 1.3 0-RTT（谨慎使用）
ssl_early_data on;

常见问题排查

证书验证工具

# 检查证书链完整性
openssl verify -CAfile /path/to/ca_bundle.crt /path/to/domain.crt# 检查证书过期时间
openssl x509 -enddate -noout -in /path/to/cert.pem# 测试SSL连接
openssl s_client -connect example.com:443 -servername example.com -tlsextdebug -status

错误日志分析

Nginx错误日志中常见SSL相关错误：

# 证书路径错误
SSL_CTX_use_PrivateKey_file("/path/to/key") failed (SSL: error:0B080074...)# 协议不匹配
SSL_do_handshake() failed (SSL: error:14209102...)# 加密套件不兼容
SSL_do_handshake() failed (SSL: error:1417A0C1...)

结论与最佳实践

通过本文的详细改造示例，我们可以看到HTTPS配置与HTTP的主要区别在于：

  1. 加密层增加：需要正确配置证书和加密参数
  2. 安全增强：必须添加各类安全头部和协议限制
  3. 性能考量：需要平衡安全性与连接速度
  4. 代理复杂性：要正确处理协议转换和头部传递

根据2023年Web Almanac数据，全球Top 1000网站中已有98.7%启用HTTPS。建议所有生产环境都按照本文方案进行HTTPS改造，并定期（至少每季度一次）更新SSL配置以应对新的安全威胁。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/pingmian/87208.shtml
繁体地址，请注明出处：http://hk.pswp.cn/pingmian/87208.shtml
英文地址，请注明出处：http://en.pswp.cn/pingmian/87208.shtml

如若内容造成侵权/违法违规/事实不符，请联系英文站点网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

AT6558R-5N32介绍

AT6558R-5N32介绍

作为单芯片SOC方案&#xff0c;AT6558R在片上整合了射频前端、数字基带处理器与32位RISC CPU&#xff0c;并具备电源管理能力。该芯片兼容北斗、GPS、GLONASS三大卫星导航系统&#xff0c;可实现多模协同定位‌。 主要特征 支持 BDS/GPS/GLONASS 多系统联合定位 和单系统独立定…
阅读更多...
“对象创建”模式之原型模式

“对象创建”模式之原型模式

目录 Prototype 原型模式动机 Motivation引例模式定义结构 Structure要点总结 Prototype 原型模式 动机 Motivation 在软件系统中&#xff0c;经常面临着“某些结构复杂的对象”的创建工作&#xff1b;由于需求的变化&#xff0c;这些对象经常面临着剧烈的变化&#xff0c;但…
阅读更多...
Tomcat服务概述

Tomcat服务概述

前言&#xff1a; 作为Apache软件基金会Jakarta项目的核心成果&#xff0c;Tomcat凭借其轻量级、开源免费的特性&#xff0c;已成为Java Web应用服务的行业基准。它实现了完整的Servlet与JSP规范&#xff0c;通过模块化架构&#xff08;Connector请求处理层与Container业务逻辑…
阅读更多...
HarmonyOS应用开发高级认证知识点梳理 （一） 布局与样式

HarmonyOS应用开发高级认证知识点梳理 （一） 布局与样式

以下是 HarmonyOS 应用开发中 ‌布局与样式‌ 的核心知识点梳理&#xff08;针对高级认证备考&#xff09;&#xff0c;结合官方文档与高频考点&#xff1a; 一、布局系统核心知识点 布局容器类型‌ 线性布局‌&#xff1a;Column&#xff08;纵向&#xff09;、Row&#xf…
阅读更多...
【Ragflow】30.离线环境迁移方案

【Ragflow】30.离线环境迁移方案

前言 之前的 Ragflow-Plus 在服务器上稳定运行一段时间后&#xff0c;接到任务&#xff0c;要把服务迁移到一台古老的&#xff0c;离线的windows台式机上。 起初认为&#xff0c;下载离线安装包&#xff0c;加载离线镜像&#xff0c;迁移下数据就可以了。 结果坑多得意想不到…
阅读更多...
nrf52840蓝牙学习（定时器的应用）

nrf52840蓝牙学习（定时器的应用）

和其他 MCU 处理器一样&#xff0c;在 nrf52840 中定时器的功能是十分强大的。其内部包含了 5 个定时 器 TIMER 模块 :TIMER0 、 TIMER1 、 TIMER2 、 TIMER3 、 TIMER4 &#xff0c;如下表 10.1 所示。 1. 时钟源 首先定时器 TIMER 工作在高频时钟源&#xff08…
阅读更多...
【Bluedroid】蓝牙启动之BTM_reset_complete源码解析

【Bluedroid】蓝牙启动之BTM_reset_complete源码解析

当蓝牙控制器完成硬件重置后，协议栈需通过一系列初始化操作恢复各模块状态。本文深入分析BTM_reset_complete核心函数及其调用链，详解 L2CAP 连接清理、安全模块重置、扫描参数恢复、BLE 隐私功能初始化等关键流程，揭示蓝牙设备在重置后如何通过标准化状态恢复确保互操作性、…
阅读更多...
containerd 项目主要目录简要说明

containerd 项目主要目录简要说明

containerd 项目结构清晰&#xff0c;核心代码分布在若干主目录下。以下是 client、cmd、core、internal、pkg、plugins 这六个主要包/目录的简要作用说明&#xff1a; 1. client 作用&#xff1a;封装与 containerd 守护进程通信的 Go 客户端 API&#xff0c;主要基于 gRPC。…
阅读更多...
有线转无线工具，轻松创建WiFi热点

有线转无线工具，轻松创建WiFi热点

软件介绍 今天为大家推荐一款实用的无线网络共享工具——MyPublicWiFi。这款软件能够将电脑的有线网络转换为无线WiFi&#xff0c;方便其他设备连接使用。 安装与设置 该软件为安装版程序&#xff0c;安装完成后会自动识别当前电脑的IP地址。用户可在软件界面中自定义设…
阅读更多...
Linux下，通过标准I2C驱动读取Sensor ID

Linux下，通过标准I2C驱动读取Sensor ID

sensor型号&#xff1a;OS04L10&#xff0c;sensor引脚以及时钟要先配置好&#xff0c;源码如下&#xff1a; #include <fcntl.h> #include <linux/i2c-dev.h> #include <linux/i2c.h> #include <stdint.h> #include <stdio.h> #include <sy…
阅读更多...
人工智能基石：SVM支持向量机全解析（附Python实战）

人工智能基石：SVM支持向量机全解析（附Python实战）

大家好&#xff01;今天我们来深入探讨支持向量机&#xff08;Support Vector Machine, SVM&#xff09;——这个在​​图像识别、文本分类​​等领域广泛应用的强大算法。既能处理分类问题&#xff0c;又能解决回归任务&#xff0c;甚至在非线性数据面前也能游刃有余。本文将带…
阅读更多...
mysql查看数据库

mysql查看数据库

在 MySQL 中查看当前数据库的创建语句&#xff0c;使用 SHOW CREATE DATABASE 命令&#xff0c;以下是详细操作指南&#xff1a; 1. 查看当前数据库的创建语句 SHOW CREATE DATABASE database_name; 替换 database_name 为你的数据库名使用反引号 包裹特殊名称或保留字 2.…
阅读更多...
ArrayList剖析

ArrayList剖析

大家天天在用List&#xff0c;ArrayList一般来讲应该是程序员用的最多的集合类了。 我们今天研究一下ArrayList。 总体来讲&#xff0c;从底层数据结构或者源码的角度看&#xff0c;List比Map或者Set要简单。 底层数据结构 ArryList其实就是可变长数组。 初始化的时候&…
阅读更多...
回顾JAVA中的锁机制

回顾JAVA中的锁机制

Java中的锁机制 在Java中&#xff0c;锁机制是多线程编程里保障数据一致性与线程安全的关键技术。 1. 内置锁&#xff1a;synchronized关键字 synchronized是Java的内置锁机制&#xff0c;能够保证在同一时刻&#xff0c;只有一个线程可以执行被其修饰的代码块或方法。 用法…
阅读更多...
YOLOv11: AN OVERVIEW OF THE KEY ARCHITECTURAL ENHANCEMENTS目标检测论文精读（逐段解析）

YOLOv11: AN OVERVIEW OF THE KEY ARCHITECTURAL ENHANCEMENTS目标检测论文精读（逐段解析）

YOLOv11: AN OVERVIEW OF THE KEY ARCHITECTURAL ENHANCEMENTS目标检测论文精读&#xff08;逐段解析&#xff09; 论文地址&#xff1a;https://www.arxiv.org/abs/2410.17725 Rahima Khanam and Muhammad Hussain Ultralytics公司发布 CVPR 2024 论文写的比较简单&#xff…
阅读更多...
【Erdas实验教程】025：遥感图像辐射增强（雾霾去除）

【Erdas实验教程】025：遥感图像辐射增强（雾霾去除）

文章目录 一、雾霾去除原理二、雾霾去除案例一、雾霾去除原理 遥感影像雾霾去除的核心原理是消除大气散射对电磁波的干扰，恢复地物真实反射信息。Haze Reduction 工具的原理： 该工具基于暗目标法（Dark Object Subtraction, DOS），适用于去除因大气散射（雾霾本质是大气颗…
阅读更多...
Language Models are Unsupervised Multitask Learners ：语言模型是无监督的多任务学习者

Language Models are Unsupervised Multitask Learners ：语言模型是无监督的多任务学习者

摘要 自然语言处理任务&#xff0c;如问答、机器翻译、阅读理解和摘要&#xff0c;通常通过在特定任务的数据集上进行监督学习来解决。我们展示了语言模型在训练于一个包含数百万网页的新数据集——WebText——时&#xff0c;可以无需任何显式监督就开始学习这些任务。当模型以…
阅读更多...
SQL语句全攻略：从基础到进阶的编程之旅

SQL语句全攻略：从基础到进阶的编程之旅

目录 一、引言二、SQL 基础语法2.1 SQL 语句写法顺序2.2 关联查询2.3 数据处理常用函数和运算符 三、数据库和表的基本操作3.1 创建数据库3.2 使用数据库3.3 创建表 四、基础增删改查操作4.1 插入数据&#xff08;增&#xff09;4.2 查询数据&#xff08;查&#xff09;4.3 更新…
阅读更多...
Kafka的下载安装

Kafka的下载安装

目录 一、前期准备 1、查看网卡&#xff1a; 2、配置静态IP 3、设置主机名 4、配置IP与主机名映射 5、关闭防火墙 6、配置免密登录 二、JDK的安装 三、Zookeeper的安装 四、Kafka的安装 1、Kafka的下载安装 2、修改配置文件 4、分发文件 5、修改其他节点broker.i…
阅读更多...
opencv入门(6) TrackBar调整图片和键盘响应

opencv入门(6) TrackBar调整图片和键盘响应

文章目录 1 创建trackbar2 使用userdata传入函数3 键盘响应 1 创建trackbar 1.trackbar名称 2.创建在哪个窗口上 3.拖动trackbar改变的值 4.trackBar的最大值 5.trackbar改变时的回调函数 6. 带入回调函数的数据&#xff0c;可以不用带,是一个void指针 createTrackbar(“Value …
阅读更多...
最新文章

Copyright @ 2022~2023