Certificate Management Service:Install an SSL certificate on an Nginx or Tengine server (Linux)

Comprobar si el puerto 443 está abierto

Ejecute el siguiente comando para probar la conectividad en el puerto 443. Reemplace <your_server_public_ip> con la dirección IP pública de su servidor.

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Si la salida es Ncat: Connected to <your_server_public_ip>:443, el puerto 443 está abierto. De lo contrario, complete los pasos a continuación.

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Si la salida es Connection to <your_server_public_ip> port [tcp/https] succeeded! o [<your_server_public_ip>] 443 (https) open, el puerto 443 está abierto. De lo contrario, complete los pasos a continuación.

Abrir el puerto 443 en su security group

Vaya a la página de instancias de Elastic Compute Service (ECS) y haga clic en el nombre de la instancia objetivo. En la sección Security Group Details, agregue una regla con la siguiente configuración y luego haga clic en Add a security group rule:

Abrir el puerto 443 en el firewall del sistema

Ejecute el siguiente comando para identificar el firewall activo:

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

Si la salida es none, no se requiere ninguna acción en el firewall. De lo contrario, ejecute el comando correspondiente a su tipo de firewall:

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Para conservar las reglas de iptables después de reiniciar el servidor:

• RHEL/CentOS:

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu:

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Instalar el módulo SSL

Ejecute el siguiente comando. Si la salida es --with-http_ssl_module, el módulo SSL ya está instalado y puede omitir esta parte e ir directamente a Configurar el certificado SSL.

nginx -V 2>&1 | grep -o -- '--with-http_ssl_module'

Si el sistema devuelve nginx: command not found , utilice la ruta completa de instalación, por ejemplo: /usr/local/nginx/sbin/nginx -V 2>&1 | grep -o -- '--with-http_ssl_module' .

Si falta el módulo SSL, instálelo con uno de los métodos a continuación, según la forma en que se instaló Nginx.

# Add the official Nginx repository.
sudo tee /etc/yum.repos.d/nginx.repo <<EOF
[nginx-stable]
name=nginx stable repo
baseurl=https://nginx.org/packages/centos/\$releasever/\$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true
EOF

# Upgrade Nginx.
sudo yum upgrade nginx

# Upgrade Nginx.
sudo apt-get update
sudo apt-get install --only-upgrade nginx

Configurar el certificado SSL

1. Abra el archivo de configuración. Puede personalizar los nombres de archivo y las rutas de almacenamiento del archivo de certificado (.pem o .crt) y del archivo de clave privada (.key). Asegúrese de que las rutas en la configuración de Nginx sean correctas y de que el proceso de Nginx tenga permiso de lectura sobre esos archivos.

   sudo vim /etc/nginx/nginx.conf

2. Agregue un bloque de servidor para HTTPS. Copie el bloque server existente que escucha en el puerto 80, cambie listen 80 por listen 443 ssl y agregue las directivas SSL que se muestran a continuación. Mantenga el resto de la configuración sin cambios.

   # Original server block listening on port 80
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # Other configurations
       location / {
           proxy_pass http://127.0.0.1:8000;
       }
   }
   
   # New server block for HTTPS.
   server {
       # Change the original 'listen 80' to 'listen 443 ssl'.
       listen 443 ssl;
       # Original server_name. You can add more domain names supported by the current certificate.
       server_name yourdomain www.yourdomain;
   
       # ======================= Start of certificate configuration =======================
       # Specify the certificate file (the intermediate certificate can be appended to this .pem file). Replace /etc/ssl/cert/ssl.pem with the absolute path of your certificate file.
       ssl_certificate /etc/ssl/cert/ssl.pem;
       # Specify the private key file. Replace /etc/ssl/cert/ssl.key with the absolute path of your private key file.
       ssl_certificate_key /etc/ssl/cert/ssl.key;
       # Configure the SSL session cache to improve performance.
       ssl_session_cache shared:SSL:1m;
       # Set the SSL session timeout period.
       ssl_session_timeout 5m;
       # Customize the TLS protocol types and cipher suites to use (the following is an example configuration; evaluate whether you need to configure it).
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
       # Specify the allowed TLS protocol versions. Higher TLS versions provide better security for HTTPS communication, but have poorer browser compatibility than lower TLS versions.
       ssl_protocols TLSv1.2 TLSv1.3;
       # Prioritize the cipher suites specified by the server.
       ssl_prefer_server_ciphers on;
       # ======================= End of certificate configuration =======================
   
       # Other configurations
   }

3. (Opcional) Redirija HTTP a HTTPS. Agregue la directiva return al bloque de servidor del puerto 80.

   # Original server block listening on port 80
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # Redirect all HTTP traffic to HTTPS.
       return 301 https://$host$request_uri;
   
       # Other original configurations can be removed as they will no longer be reached.
   }

4. (Opcional) Configure las rutas del certificado cuando el servicio web Nginx o Tengine se ejecuta en un contenedor Docker.

   Un contenedor tiene su propio sistema de archivos, aislado del servidor host, por lo que Nginx no puede leer los archivos del certificado directamente desde una ruta del host. Monte el certificado digital (el archivo .pem, que puede incluir la cadena de certificados intermedios) y el archivo de clave privada que descargó desde la consola de SSL Certificates dentro del contenedor, y luego haga referencia a sus rutas internas.

   1. Asigne el archivo de certificado, el archivo de clave privada y el archivo de configuración al iniciar el contenedor. La opción :ro los monta como solo lectura.

      # Replace /host/path/to/ with the actual absolute paths of the certificate file, private key file, and configuration file on the host server.
      docker run -d --name nginx-ssl \
        -v /host/path/to/cert.pem:/etc/nginx/ssl/cert.pem:ro \
        -v /host/path/to/cert.key:/etc/nginx/ssl/cert.key:ro \
        -v /host/path/to/nginx.conf:/etc/nginx/nginx.conf:ro \
        -p 443:443 \
        nginx

   2. En nginx.conf, establezca los elementos de configuración ssl_certificate y ssl_certificate_key con las rutas internas del contenedor en lugar de las rutas del host.

      ssl_certificate     /etc/nginx/ssl/cert.pem;
      ssl_certificate_key /etc/nginx/ssl/cert.key;

   3. Reinicie el contenedor para aplicar los cambios.

      docker restart nginx-ssl

   Si los archivos no están montados, o si nginx.conf aún apunta a rutas del host en lugar de rutas internas del contenedor, Nginx no iniciará y mostrará el error cannot load certificate: No such file or directory. Para más información sobre solución de problemas, consulte las preguntas frecuentes. Una vez que el contenedor se reinicie, abra su sitio en un navegador y confirme que el certificado se carga correctamente.

5. Compruebe que la configuración no tenga errores de sintaxis.

   sudo nginx -t -c /etc/nginx/nginx.conf

   Si la salida incluye tanto syntax is ok como test is successful, la configuración es válida. De lo contrario, corrija los errores reportados y vuelva a ejecutar la prueba.

Recargar Nginx

sudo nginx -s reload

nginx

¿Por qué HTTPS no es accesible después de la instalación?

Revise lo siguiente en orden:

• El puerto 443 está bloqueado: el security group o el firewall no permite el tráfico entrante en el puerto 443. Consulte Abrir el puerto 443.

• Dominio no coincidente: el dominio al que intenta acceder no aparece en Bound Domains del certificado. Consulte la tabla de cobertura de dominios en Requisitos previos.

• Nginx no se recargó: la configuración no se recargó después de los cambios. Ejecute sudo nginx -s reload.

• Rutas de archivo incorrectas: las directivas ssl_certificate o ssl_certificate_key apuntan a rutas incorrectas. Compruebe las rutas absolutas de sus archivos .pem y .key.

• Falta el certificado en los servicios ascendentes: si su dominio enruta a través de una Content Delivery Network (CDN), un Server Load Balancer (SLB) o un Web Application Firewall (WAF), el certificado también debe instalarse en esos servicios. Consulte Certificate deployment locations when traffic passes through multiple Alibaba Cloud services.

• Certificado no desplegado en todos los servidores: si el DNS del dominio resuelve a varios servidores, instale el certificado en cada uno de ellos.

Para obtener más ayuda, consulte Resolve certificate deployment issues based on browser error messages y SSL certificate deployment troubleshooting guide .

¿Cómo actualizo o reemplazo un certificado SSL sin tiempo de inactividad?

1. Haga una copia de seguridad de los archivos .pem y .key actuales en el servidor.

2. Descargue el nuevo certificado y la clave privada desde la consola de Certificate Management Service.

3. Cargue los nuevos archivos en el servidor y reemplace los existentes. Utilice exactamente las mismas rutas y nombres de archivo que se indican en la configuración de Nginx.

4. Recargue Nginx: sudo nginx -s reload.

¿Cómo encuentro el archivo de configuración activo de Nginx (nginx.conf) en un servidor Linux?

1. Ejecute ps -ef | grep '[n]ginx: master' | grep -- ' -c '. Si la salida incluye algo como -c /etc/nginx/custom.conf, Nginx está utilizando ese archivo de configuración personalizado.

2. Si el paso 1 no devuelve resultados, Nginx utiliza la ruta predeterminada con la que se compiló. Ejecute nginx -V 2>&1 | grep -oP -- '--conf-path=[^ ]*' para mostrar la ruta predeterminada, por ejemplo --conf-path=/etc/nginx/nginx.conf.

¿Cómo deshabilito TLSv1.0 y TLSv1.1 para corregir las advertencias de que "el certificado no cumple con los estándares"?

Establezca la directiva ssl_protocols en la configuración de Nginx con el siguiente valor:

ssl_protocols TLSv1.2 TLSv1.3;

Esto deshabilita los protocolos inseguros TLSv1.0 y TLSv1.1. Después de guardar el archivo, ejecute nginx -s reload para aplicar el cambio.

¿Por qué nginx -t falla con bind() to 0.0.0.0:443 failed (98: Address already in use)?

Otro proceso ya está escuchando en el puerto 443. Ejecute sudo ss -tlnp | grep :443 para identificarlo. Luego, detenga el proceso en conflicto (como otro servidor web o una instancia de Nginx bloqueada) o configúrelo para usar un puerto diferente.

¿Por qué nginx -t falla con cannot load certificate "/etc/nginx/ssl/domain.pem": BIO_new_file() failed?

Nginx no encuentra el archivo de certificado en la ruta especificada en la configuración. Corrija la directiva ssl_certificate en nginx.conf para que apunte a la ruta absoluta real de su archivo .pem.

¿Por qué la recarga de Nginx falla con the "ssl" parameter requires ngx_http_ssl_module?

La compilación de Nginx no incluye el módulo SSL. Instale o recompile Nginx con ngx_http_ssl_module habilitado. Consulte Install the SSL module.

¿Por qué obtengo No such file or directory: fopen('/cert/3970497_demo.aliyundoc.com.pem','r') al recargar Nginx?

La ruta especificada para ssl_certificate o ssl_certificate_key es incorrecta. Compruebe que las rutas en su configuración sean rutas absolutas correctas y que los archivos existan en esas ubicaciones.

¿Por qué Nginx no puede leer los archivos del certificado SSL y muestra el error permission denied?

El usuario del proceso worker de Nginx no tiene acceso de lectura a los archivos del certificado.

1. Identifique el usuario worker de Nginx: busque la directiva user en nginx.conf (por ejemplo, user nginx;).

2. Otorgue a ese usuario permiso de lectura (r) sobre los archivos de certificado y clave privada, así como permiso de ejecución (x) en todos los directorios superiores de la ruta.

¿Nginx 1.2 admite certificados descargados desde SSL Certificate Management V2.0?

Sí. Los certificados emitidos a través de SSL Certificate Management V2.0 son iguales a los emitidos mediante V1.0. La única diferencia es el método de compra.