Einleitung
Im Jahre 2017 sollte SSL Standard für jede Webseite sein. Warum das leider immer noch nicht so ist liegt vielleicht daran, dass viele Leute abgeschreckt sind von der Einrichtung oder nicht wissen wie es umgesetzt wird. In diesem kleinen Tutorial, möchte ich euch Heute zeigen, wie einfach es doch ist SSL unter Ubuntu mit einem NGINX Webserver einzurichten.Voraussetzungen
Eine kleine Liste mit Dingen die ich für dieses Tutorial voraussetze.- Ubuntu Server
- NGINX Server installiert
- OpenSSL installiert
Schritt 1 - Zertifikat erzeugen
Als erstes brauchen wir einen Ort wo wir das Zertifikat ablegen und speichern wollen. Da es sich hier um ein Zertifikat für den NGINX handelt erzeugen wir einfach im NGINX Ordner einen weiteren Ordner "ssl".sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/nginx/ssl/nginx.key -out /etc/nginx/ssl/nginx.crt
Kurze Erklärung zu dem Befehl:
- openssl: Standard Konsolen Programm um Zertifikate zu erstellen
- req: sagt aus das wir eine X.509 Signierungsanfrage erstellen wollen. X.509 ist ein Standard für SSL und TSL
- -x509: Die Option sagt aus das wir ein selbst signiertes Zertifikat erstellen wollen
- -nodes: Teilt OpenSSL mit das wir keine Passwortabfrage bei dem Zertifikat benötigen. Wäre auch schlecht da NGINX dann bei Neustarts immer danach fragen würde
- -days 365: Anzahl der Tage wie lange das Zert. gültig ist
- -newkey rsa:2048: Sagt das wir einen neuen Schlüssel und Zertifikat mit einem 2048 Bit Schlüssel möchten
- -keyout: Gibt OpenSSL einen Ort an wo der Schlüssel gespeichert werden soll
- -out: Gibt OpenSSL einen Ort an wo das Zertifikat gespeichert werden soll
Country Name (2 letter code) [AU]: State or Province Name (full name) [Some-State]: Locality Name (eg, city) []: Organization Name (eg, company) [Internet Widgits Pty Ltd]: Organizational Unit Name (eg, section) []: Common Name (e.g. server FQDN or YOUR name) []: Email Address []: Please enter the following 'extra' attributes to be sent with your certificate request A challenge password []: An optional company name []:
Die von dir erstelleten Dateien werden in dem angegebenen Ordner abgespeichert.
Schritt 2 - NGINX Konfigurieren
Ein Vorteil von NGINX gegenüber dem Apache ist das man HTTPS/SSL in der selben Vhost Config aktivieren kann wo auch HTTP konfiguriert ist. Wir bearbeiten dazu unsere Standard Konfiguration unter.nano /etc/nginx/sites-available/default
Wir fügen 4 Zeilen hinzu.
server {
# ipv4 http
listen 80 default_server;
# ipv6 http
listen [::]:80 default_server;
# ADDED ipv4 https
listen 443 ssl default_server;
# ADDED ipv6 https
listen [::]:443 ssl default_server;
server_name default;
root /var/www/application/public;
index index.html index.htm index.php index.cgi index.pl index.xhtml;
# ADDED ssl settings
ssl_certificate /etc/nginx/ssl/nginx.crt;
ssl_certificate_key /etc/nginx/ssl/nginx.key;
# log
error_log /var/www/application/log/error.log;
access_log /var/www/application/log/access.log combined;
# rewrite
location / {
try_files $uri $uri/ /index.php;
}
# php socket
location ~ \.php$ {
try_files $uri =404;
include /etc/nginx/fastcgi_params;
fastcgi_split_path_info ^(.+\.php)(/.+)$;
fastcgi_pass unix:/run/php/php7.1-fpm.sock;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
fastcgi_intercept_errors on;
}
}
Die ersten beiden hinzugefügten Zeilen kümmern sich darum das der NGINX auf den richtigen Port lauscht und IPv4 und IPv6 anfragen annimmt.
Die anderen 2 kümmern sich darum das der NGINX den Schlüssel und das Zertifikat läd.
Danach starten wir neu uns schauen ob alles klappt.
sudo service nginx restart ODER sudo /etc/init.d/nginx restart
Nach erfolgreichem Neustart sollte unsere Seite unter http und https erreichbar sein.
HTTPS testen
Um unsere Konfiguration zu testen erstellen wir in unsrem Verzeichnis (/var/www/application/public) eine index.html zum testen. Unsere Seite dann unter beiden Adressen erreichbar seinhttp://server_domain_or_IP UND https://server_domain_or_IP:443
Hinweiß: In den meisten Browsern muss man noch das Zertifikat akzeptieren damit die Seite dargestellt wird. Denn euer Lokales Zertifikat gilt in den Browsern als nicht sicher.
Abschluss
Abschließend ist zu sagen, dass der Aufwand SSL einzurichten doch relativ gering ist und für lokale Tests sehr zu empfehlen ist. Wenn eure Applikation lokal zu 100% läuft, solltet Ihr den Schritt nicht scheuen auch Live SSL mit einem richtigen Zertifikat zu verwenden. Richtige Zertifikate bekommt Ihr dank "Lets Encrypt" quasi für 0€.Viel Spass beim testen. Bei Fragen benutzt bitte die Kommentare.
