Certificate Management Service:Install an SSL certificate on an Nginx or Tengine server (Linux)

Vérifier si le port 443 est ouvert

Exécutez la commande suivante pour tester la connectivité sur le port 443. Remplacez <your_server_public_ip> par l'adresse IP publique de votre serveur.

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Si la sortie affiche Ncat: Connected to <your_server_public_ip>:443 , le port 443 est ouvert. Sinon, suivez les étapes ci-dessous.

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Si la sortie affiche Connection to <your_server_public_ip> port [tcp/https] succeeded! ou [<your_server_public_ip>] 443 (https) open , le port 443 est ouvert. Sinon, suivez les étapes ci-dessous.

Ouvrir le port 443 dans votre groupe de sécurité

Accédez à la page Instances Elastic Compute Service (ECS) et cliquez sur le nom de l'instance cible. Dans la section Security Group Details , ajoutez une règle avec les paramètres suivants, puis cliquez sur Ajouter une règle de groupe de sécurité :

Ouvrir le port 443 dans votre pare-feu système

Exécutez la commande suivante pour identifier votre pare-feu actif :

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

Si la sortie affiche none , aucune action relative au pare-feu n'est requise. Sinon, exécutez la commande correspondant à votre type de pare-feu :

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Pour rendre les règles iptables persistantes après un redémarrage :

• RHEL/CentOS :

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu :

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Installer le module SSL

Exécutez la commande suivante. Si la sortie affiche --with-http_ssl_module , le module SSL est déjà installé et vous pouvez passer directement à la section Configurer le certificat SSL.

nginx -V 2>&1 | grep -o -- '--with-http_ssl_module'

Si le système renvoie nginx: command not found , utilisez le chemin d'installation complet, par exemple : /usr/local/nginx/sbin/nginx -V 2>&1 | grep -o -- '--with-http_ssl_module' .

Si le module SSL est absent, installez-le en utilisant l'une des méthodes ci-dessous, selon la manière dont Nginx a été installé.

# Add the official Nginx repository.
sudo tee /etc/yum.repos.d/nginx.repo <<EOF
[nginx-stable]
name=nginx stable repo
baseurl=https://nginx.org/packages/centos/\$releasever/\$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true
EOF

# Upgrade Nginx.
sudo yum upgrade nginx

# Upgrade Nginx.
sudo apt-get update
sudo apt-get install --only-upgrade nginx

Configurer le certificat SSL

1. Ouvrez le fichier de configuration. Vous pouvez personnaliser les noms de fichiers et les chemins de stockage du fichier de certificat (.pem ou .crt) ainsi que du fichier de clé privée (.key). Assurez-vous que les chemins indiqués dans la configuration Nginx sont corrects et que le processus Nginx dispose des autorisations de lecture sur ces fichiers.

   sudo vim /etc/nginx/nginx.conf

2. Ajoutez un bloc server pour le HTTPS. Copiez le bloc server existant qui écoute sur le port 80, remplacez listen 80 par listen 443 ssl, puis ajoutez les directives SSL indiquées ci-dessous. Conservez tous les autres paramètres tels quels.

   # Original server block listening on port 80
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # Other configurations
       location / {
           proxy_pass http://127.0.0.1:8000;
       }
   }
   
   # New server block for HTTPS.
   server {
       # Change the original 'listen 80' to 'listen 443 ssl'.
       listen 443 ssl;
       # Original server_name. You can add more domain names supported by the current certificate.
       server_name yourdomain www.yourdomain;
   
       # ======================= Start of certificate configuration =======================
       # Specify the certificate file (the intermediate certificate can be appended to this .pem file). Replace /etc/ssl/cert/ssl.pem with the absolute path of your certificate file.
       ssl_certificate /etc/ssl/cert/ssl.pem;
       # Specify the private key file. Replace /etc/ssl/cert/ssl.key with the absolute path of your private key file.
       ssl_certificate_key /etc/ssl/cert/ssl.key;
       # Configure the SSL session cache to improve performance.
       ssl_session_cache shared:SSL:1m;
       # Set the SSL session timeout period.
       ssl_session_timeout 5m;
       # Customize the TLS protocol types and cipher suites to use (the following is an example configuration; evaluate whether you need to configure it).
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
       # Specify the allowed TLS protocol versions. Higher TLS versions provide better security for HTTPS communication, but have poorer browser compatibility than lower TLS versions.
       ssl_protocols TLSv1.2 TLSv1.3;
       # Prioritize the cipher suites specified by the server.
       ssl_prefer_server_ciphers on;
       # ======================= End of certificate configuration =======================
   
       # Other configurations
   }

3. (Facultatif) Redirigez le HTTP vers le HTTPS. Ajoutez la directive return au bloc server du port 80.

   # Original server block listening on port 80
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # Redirect all HTTP traffic to HTTPS.
       return 301 https://$host$request_uri;
   
       # Other original configurations can be removed as they will no longer be reached.
   }

4. (Facultatif) Configurez les chemins d'accès aux certificats lorsque le service web Nginx ou Tengine s'exécute dans un conteneur Docker.

   Un conteneur possède son propre système de fichiers, isolé de celui du serveur hôte ; Nginx ne peut donc pas lire directement les fichiers de certificat depuis un chemin de l'hôte. Montez le certificat numérique (fichier .pem

   Pourquoi c'est important

   Comment l'appliquer

   Exécuter en tant qu'utilisateur non root

   Limiter l'impact d'un incident de sécurité

   Créer un utilisateur système dédié avec des privilèges réduits pour l'application

   Terminer le SSL au niveau de la passerelle

   Simplifier la gestion des certificats et réduire la complexité du backend

   Déployer le certificat sur un Server Load Balancer (SLB). Le SLB termine le HTTPS et transfère le HTTP en clair vers le backend

   Externaliser les secrets

   Empêcher la fuite d'identifiants via le code source ou les fichiers de configuration

   Utiliser des variables d'environnement, HashiCorp Vault ou Alibaba Cloud Key Management Service au lieu de coder en dur les mots de passe

   Forcer la redirection HTTP vers HTTPS

   Prévenir les attaques de type « man-in-the-middle » sur le trafic non chiffré

   Ajouter return 301 https://$host$request_uri; au bloc server du port 80

   Désactiver les versions TLS non sécurisées

   SSLv3, TLSv1.0 et TLSv1.1 sont vulnérables à des attaques connues

   Définir ssl_protocols TLSv1.2 TLSv1.3; dans la configuration Nginx

   Surveiller les certificats et les renouveler à temps

   Un certificat expiré interrompt le HTTPS pour tous les utilisateurs

   Activer la surveillance des domaines. Alibaba Cloud vérifie la validité des certificats et envoie des rappels de renouvellement avant l'expiration. Consultez la section Acheter et activer la surveillance publique des noms de domaine

FAQ

ssl_protocols TLSv1.2 TLSv1.3;