nginx實現SSL卸載

一、場景簡介

        某些場景中，我們需要保證業務的安全可靠，因此難免需要使用HTTPS加密保護數據，但是除了在公網做SSL加密之外，內網之間的傳輸加密倒是意義不大，因此nginx的SSL加密負載就可以派上用場了

二、拓撲

三、配置

    1.配置自簽名CA，並且給服務器證書籤名 

     配置CA 

   #cd  /etc/pki/CA
   1.爲CA生成i一個私鑰
      #（umask 077；openssl genrsa -out private/cakey.pem 2048）
   2.生成自簽名證書
      openssl req -new -x509 -key private/cakey.pem  -out cacert.pem -days 365
	  touch index.txt
	  echo 01>serial

    申請證書，並簽名

   # cd  /etc/nginx/ 
   # mkdir ssl
   # cd ssl
   1.用戶生成自己的私鑰  
      #（umask 077；openssl genrsa 1024 >nginx.pri)
   2.生成證書籤署請求
      # openssl req -new -key nginx.pri -out nginx.csr
   3.CA爲簽署請求籤名
      # openssl ca -in nginx.csr -out nginx.crt -days 365

   2.開啓路由轉發

  # vi /etc/sysctl.conf
      net.ipv4.ip_forward = 1
  # sysctl -p

    3.配置nginx的配置文件 /etc/nginx.conf

#user  nobody;
worker_processes  3;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;


events {
    use epoll;
    worker_connections  1024;
}

http {
    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';

    #access_log  logs/access.log  main;

    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;

    #gzip  on;

    server {
        listen       80;
        server_name  localhost;

        #charset koi8-r;

        #access_log  logs/host.access.log  main;
        location / {
            root   /var/www/html;
            index  index.html index.htm;
        }

        #error_page  404              /404.html;
        
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
        }
        }
        
   ###################具體配置#################################     
upstream https {            #定義upstream模塊
   least_conn;               #調度算法
   server  192.168.112.131:80 weight=2  max_fails=4  fail_timeout=1; #
   server  127.0.0.1:80  backup;  #本地作爲備份服務器
}
    # HTTPS server
    #
    server {
        listen       443 ssl;
        server_name  localhost;

        ssl_certificate      ssl/nginx.crt;  #證書位置
        ssl_certificate_key  ssl/nginx.pri;  #私鑰位置

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;

        location / {
            proxy_pass    # 反向負載
            add_header Real-Server $upstream_addr;  ##響應報文添加rs地址
        }
    }

}

   4.配置RS服務器

 略

四、測試