172173.com

参考博文：【Nginx的SSL配置优化】https://www.linpx.com/p/ssl-configuration-optimization.html

一、SSL Labs

ssllabs：查看https网站的安全级别： https://www.ssllabs.com/ssltest/index.html

未加入ssl优化配置的安全级别F

image

配置了ssl优化参数的安全级别A+

image

二、创建dhparam nginx.pem秘钥

  • 一般网站使用的SSL证书都是RSA证书，这种证书基本都是2048位的密钥，但是证书密钥交换密钥必须要比证书密钥更长才能安全。
  • 而默认的创建dhparam.pem只有1024位，所以我们需要手动生成一个更强的密钥4096位。
1
2
3
4
# 执行时间很长，建议使用screen生成
mkdir -p /usr/local/nginx/ssl-key/dh_ssl
cd /usr/local/nginx/ssl-key/dh_ssl
openssl dhparam -out nginx.pem 4096

三、ssl配置及优化

配置如下，只包含ssl部分的配置，未包含其他比较重要的配置，如缓存、跳转、防盗链和强制HTTPS等等。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
upstream www.test.com_ssl {
        server 127.0.0.1 weight=20 max_fails=2 fail_timeout=8s;
}

server
{
        listen  443 ssl;
        server_name www.test.com;

        # SSL base
        ssl on;
        ssl_certificate /usr/local/nginx/ssl-key/STAR.test.com/STAR.test.com.crt;
        ssl_certificate_key /usr/local/nginx/ssl-key/STAR.test.com/STAR.test.com.key;
        ssl_dhparam /usr/local/nginx/ssl-key/dh_ssl/nginx.pem;
        ssl_session_timeout 1d;
        ssl_session_cache shared:SSL:50m;
        ssl_session_tickets on;

        # SSL ciphers
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
        ssl_prefer_server_ciphers on;

        # OCSP Stapling
        #ssl_trusted_certificate /usr/local/nginx/ssl-key/GlobalSign/chain.pem;
        #ssl_stapling on;
        #ssl_stapling_verify on;
        #resolver 8.8.8.8 8.8.4.4 valid=300s;
        #resolver 119.29.29.29 223.5.5.5 valid=300s;
        #resolver_timeout 5s;

        # HSTS
        add_header Strict-Transport-Security max-age=15768000;
        #add_header X-Frame-Options DENY;
        #add_header X-Content-Type-Options nosniff;

        location / {
                proxy_redirect off;
                proxy_pass http://www.test.com_ssl;
                proxy_set_header Host $host;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header REMOTE-HOST $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_next_upstream timeout invalid_header http_500 http_502 http_503 http_504; # http_404;
        }

        client_max_body_size     100m;
        client_body_buffer_size  128k;

        proxy_connect_timeout    90;
        proxy_read_timeout       90;
        proxy_send_timeout       90;

        proxy_buffer_size             64k;
        proxy_buffers              32 32k;
        proxy_busy_buffers_size      128k;
        proxy_temp_file_write_size    64k;
        large_client_header_buffers 4 16k;

        error_log  /data/httplogs/www.test.com-ssl-error.log;
        access_log /data/httplogs/www.test.com-ssl-access.log weblog;
}

配置解析

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
server {
        listen  443 ssl;
        # listen  443 ssl http2;
        # 使用HTTP/2，需要Nginx1.9.7以上版本
        server_name www.test.com;


        # SSL base  ssl基础配置区块，SSL证书文件位置
        ssl on;
        ssl_certificate /usr/local/nginx/ssl-key/STAR.test.com/STAR.test.com.crt;
        # https证书，其实是个公钥，它会被发送到连接服务器的每个客户端
        ssl_certificate_key /usr/local/nginx/ssl-key/STAR.test.com/STAR.test.com.key;
        # 证书私钥是用来解密的，所以它的权限要得到保护。让nginx的主进程能够读取。当然私钥和证书可以放在一个证书文件中，这种方式也只有公钥证书才发送到client
        

        # SSL ciphers   加密算法及交换秘钥配置区块
        ssl_dhparam /usr/local/nginx/ssl-key/dh_ssl/nginx.pem;
        # DH-Key交换密钥文件位置
        ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
        # 选择加密套件，不同的浏览器所支持的套件（和顺序）可能会不同。这里指定的是OpenSSL库能够识别的写法，你可以通过 openssl -v cipher 'RC4:HIGH:!aNULL:!MD5'（后面是你所指定的套件加密算法） 来看所支持算法。
        ssl_prefer_server_ciphers on;
        #由服务器协商最佳的加密算法

        
        # OCSP Stapling     OCSP配置区块
        ssl_trusted_certificate  /usr/local/nginx/ssl-key/GlobalSign/chain.pem;
        # OCSP Stapling的证书位置
        ssl_stapling on;
        # OCSP Stapling开启,OCSP是用于在线查询证书吊销情况的服务，使用OCSP Stapling能将证书有效状态的信息缓存到服务器，提高TLS握手速度
        ssl_stapling_verify on;
        # OCSP Stapling验证开启
        #resolver 8.8.8.8 8.8.4.4 valid=300s;   # 海外dns（美国）
        resolver 119.29.29.29 223.5.5.5 valid=300s; # 国内dns（腾讯和阿里）
        # 用于查询OCSP服务器的DNS
        resolver_timeout 5s;
        # 查询域名超时时间


        # HSTS  配置区块
        add_header Strict-Transport-Security max-age=10886400;
        # 开启HSTS，并设置有效期为“10886400秒”（最低不低于18周）
        # add_header Strict-Transport-Security "max-age=6307200; includeSubdomains; preload";
        #开启HSTS，并设置有效期为“6307200秒”（6个月），包括子域名(根据情况可删掉)，预加载到浏览器缓存(根据情况可删掉)
        add_header X-Frame-Options DENY;
        # 禁止被嵌入框架
        add_header X-Content-Type-Options nosniff;
        # 防止在IE9、Chrome和Safari中的MIME类型混淆攻击


        # SSL optimize  ssl优化配置区块
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;    
        # 指令用于启动特定的加密协议，nginx在1.1.13和1.0.12版本后默认是ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2，TLSv1.1与TLSv1.2要确保OpenSSL >= 1.0.1 ，SSLv3 现在还有很多地方在用但有不少被攻击的漏洞。
        ssl_session_cache shared:SSL:50m;
        # Session Cache，将Session缓存到服务器，这可能会占用更多的服务器资源
        # ssl_session_cache builtin:1000 shared:SSL:10m;
        # 设置ssl/tls会话缓存的类型和大小。如果设置了这个参数一般是shared，buildin可能会参数内存碎片，默认是none，和off差不多，停用缓存。如shared:SSL:10m表示我所有的nginx工作进程共享ssl会话缓存，官网介绍说1M可以存放约4000个sessions。
        ssl_session_tickets on;
        # 开启浏览器的Session Ticket缓存
        ssl_session_timeout 1d;
        # SSL session过期时间，系统默认5分钟太短了，可以设成30m即30分钟甚至4h

……

}

ssl_ciphers加密套件配置

ssl_ciphers加密套件配置可以直接通过这个链接来查看。
https://mozilla.github.io/server-side-tls/ssl-config-generator/

 上一页

TMG vpn windows Forefront TMG 2010

 评论