记录一次nginx 升级https

1. 安装 nginx

docker pull nginx

2. 发布应用

新建临时的容积 copy 出来配置文件

docker run --name nginx-manager -d nginx
docker cp nginx-manager:"/etc/nginx/conf.d/default.conf" "/home/java/management/conf/default.conf"
docker cp nginx-manager:/etc/nginx/nginx.conf /home/java/management/nginx.conf
docker cp nginx-manager:/var/log/nginx /home/java/management/
mv /home/java/management/nginx /home/java/management/logs 
docker cp nginx-manager:/usr/share/nginx/html /home/java/management/
docker rm -f nginx-manager

3. 申请ssl

临时自己做一个用来测试，后期购买crt证书更换就可以

Key 是私用密钥openssl格，通常是rsa算法。
    Csr 是证书请求文件，用于申请证书。在制作csr文件的时，必须使用自己的私钥来签署申，还可以设定一个密钥。
    crt是CA认证后的证书文。
# 1. 生成 key
openssl genrsa -des3 -out server.key 2048
# 2. 生成 csr
openssl req -new -key server.key -out server.csr

执行成功后提示要输入您的相关信息。填写说明：
   1.Country Name：
      填您所在国家的ISO标准代号，如中国为CN，美国为US
   2.State or Province Name：
      填您单位所在地省/自治区/直辖市，如北京市或 Beijing
   3.Locality Name：
      填您单位所在地的市/县/区，如昌平或Changping
   4.Organization Name：
      填您单位/机构/企业合法的名称，如广东数字证书认证中心或Guangdong Certification Authority Co.,Ltd.
   5.Organizational Unit Name：
      填：部门名称，如技术支持部或Technical support
   6.Common Name：
      填：域名，如：localhost。在多个域名时，填主域名，如果为了https申请，这个必须和域名吻合，否则会引发浏览器警报
   7.Email Address：
      填您的邮件地址，不必输入，按回车跳过
   8.‘extra’attributes  
      从信息开始的都不需要填写，按回车跳过直至命令执行完毕，除第1、6、7、8项外，2-5的信息填写请统一使用中文或者英文填写。并确保您填写的所有内容和您提交到的证书颁发单位内容一致，以保证SSL证书的签发。生成的csr文件交给CA签名后形成服务端自己的证书。
# 3. 去除密码
openssl rsa -in server.key -out server_nopass.key
# 4. 生成证书
openssl x509 -req -days 3650 -in server.csr -signkey server_nopass.key -out server.crt

1.png

2.png

3.png

4.png

验证.png

4. 升级https

这里注意使用的是不带密码的key

cp server.key /home/java/management/conf/server.key
cp server_nopass.crt /home/java/management/conf/server_nopass.crt
ls /home/java/management/conf/

5.png

5. 修改config 反向代理解决 https 调用http无效

在文件结尾添加一个 负载均衡 upstream 和 server listen 444端口的

vi   /home/java/management/conf/default.conf


server {
    listen       80;
    listen  [::]:80;
    server_name  localhost;
    rewrite ^(.*)$ https://$host:444 permanent; # 重要 80 重定性到443
    #rewrite ^(.*)$ https://$host$1 permanent; # 端口是443时用

    #charset koi8-r;
    #access_log  /var/log/nginx/host.access.log  main;

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }

    #error_page  404              /404.html;

    # redirect server error pages to the static page /50x.html
    #
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
        
    }

    # proxy the PHP scripts to Apache listening on 127.0.0.1:80
    #
    #location ~ \.php$ {
    #    proxy_pass   http://127.0.0.1;
    #}
    
    
    # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
    #
    #location ~ \.php$ {
    #    root           html;
    #    fastcgi_pass   127.0.0.1:9000;
    #    fastcgi_index  index.php;
    #    fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
    #    include        fastcgi_params;
    #}

    # deny access to .htaccess files, if Apache's document root
    # concurs with nginx's one
    #
    #location ~ /\.ht {
    #    deny  all;
    #}
}

# 定义集群 负载均衡
# 通过配置多个server，weight是权重，权重越大，被访问的记录越大
# fail_timeout  与max_fails结合使用
# max_fails 设置在fail_timeout参数设置的时间内最大失败次数，如果在这个时间内，所有针对该服务器的请求都失败了，那么认为该服务器会被认为是停机了
# fail_time 服务器会被认为停机的时间长度,默认为10s。
# down  标记服务器永久停机了。
# backup    标记该服务器为备用服务器。当主服务器停止时，请求会被发送到它这里。
# 默认轮寻 ，    
#ip_hash #就近原则
#least_conn 最小连接
upstream prox.manage{
    server 192.168.0.103:9527 weight=2;
    #server localhost:9527;
    #server localhost:8003 backup;
    #server localhost:8004 max_fails=3 fail_timeout=20s;
}

# HTTPS server
#
server {
    listen       444 ssl ; # ssl 协议
    server_name  localhost;

    root /usr/share/nginx/html; # 网站源文件地址
    index index.html index.htm; # 首页

    ssl_certificate      /etc/nginx/conf.d/server.crt; # crt文件
    ssl_certificate_key  /etc/nginx/conf.d/server_nopass.key;  # key 文件

    #ssl_session_cache    shared:SSL:1m;
    ssl_session_timeout  5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; # 固定不要变动
    ssl_prefer_server_ciphers on;
    
    location /security/img/ {
        proxy_pass http://prox.manage/security/img/; # 反向代理 解决https到http无数据
        proxy_set_header Referer $http_referer;
    }
    
    location ~ ^/(security|data|manage|order|payment|zensyo|taskcenter|api)/ { # 正则匹配开头关键字 注意符号顺序
        proxy_pass http://prox.manage;
        proxy_set_header Referer $http_referer; # 反向代理 解决https到http无数据
    }


}

6. 启动程序访问

docker rm -f nginx-manager

docker run --name nginx-manager -p 8081:80 -p 444:444 --network my-net \
-v /home/java/management/html:/usr/share/nginx/html \
-v /home/java/management/nginx.conf:/etc/nginx/nginx.conf \
-v /home/java/management/conf/default.conf:/etc/nginx/conf.d/default.conf \
-v /home/java/management/conf/server.crt:/etc/nginx/conf.d/server.crt \
-v /home/java/management/conf/server_nopass.key:/etc/nginx/conf.d/server_nopass.key \
-v /home/java/management/logs:/var/log/nginx  nginx

浏览器打开 网站

image.png