Certificate Management Service:Instalar um certificado SSL em um servidor Nginx ou Tengine (Linux)

Verificar se a porta 443 está aberta

Execute o comando a seguir para testar a conectividade na porta 443. Substitua <your_server_public_ip> pelo endereço IP público do servidor.

RHEL/CentOS

command -v nc > /dev/null 2>&1 || sudo yum install -y nc
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Se a saída for Ncat: Connected to <your_server_public_ip>:443, a porta 443 está aberta. Caso contrário, conclua as etapas abaixo.

Debian/Ubuntu

command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
# Replace <your_server_public_ip> with the public IP address of your server.
sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <your_server_public_ip> 443

Se a saída for Connection to <your_server_public_ip> port [tcp/https] succeeded! ou [<your_server_public_ip>] 443 (https) open, a porta 443 está aberta. Caso contrário, conclua as etapas abaixo.

Abrir a porta 443 no grupo de segurança

Acesse a página de instâncias do Elastic Compute Service (ECS) e clique em no nome da instância desejada. Na seção Security Group Details, adicione uma regra com as seguintes configurações e clique em Add a security group rule:

Abrir a porta 443 no firewall do sistema

Execute o comando a seguir para identificar o firewall ativo:

if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
    echo "firewalld"
elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
    echo "ufw"
elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
    echo "nftables"
elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
    echo "iptables"
elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
    echo "iptables"
else
    echo "none"
fi

Se a saída for none, nenhuma ação de firewall é necessária. Caso contrário, execute o comando correspondente ao tipo de firewall:

firewalld

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

ufw

sudo ufw allow 443/tcp

nftables

sudo nft add table inet filter 2>/dev/null
sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

iptables

sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

Para persistir as regras do iptables após uma reinicialização:

• RHEL/CentOS:

  sudo yum install -y iptables-services
  sudo service iptables save

• Debian/Ubuntu:

  sudo apt-get install -y iptables-persistent
  sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

Instale o módulo SSL

Execute o comando a seguir. Se a saída for --with-http_ssl_module, o módulo SSL já está instalado e você pode pular para Configure o certificado SSL.

nginx -V 2>&1 | grep -o -- '--with-http_ssl_module'

Se o sistema retornar nginx: command not found , use o caminho completo de instalação, por exemplo: /usr/local/nginx/sbin/nginx -V 2>&1 | grep -o -- '--with-http_ssl_module' .

Se o módulo SSL estiver ausente, instale-o usando um dos métodos abaixo, conforme a forma de instalação do Nginx.

# Add the official Nginx repository.
sudo tee /etc/yum.repos.d/nginx.repo <<EOF
[nginx-stable]
name=nginx stable repo
baseurl=https://nginx.org/packages/centos/\$releasever/\$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true
EOF

# Upgrade Nginx.
sudo yum upgrade nginx

# Upgrade Nginx.
sudo apt-get update
sudo apt-get install --only-upgrade nginx

Configure o certificado SSL

1. Abra o arquivo de configuração.

   sudo vim /etc/nginx/nginx.conf

2. Adicione um bloco de servidor para HTTPS. Copie o bloco server existente que escuta na porta 80, altere listen 80 para listen 443 ssl e adicione as diretivas SSL mostradas abaixo. Mantenha todas as outras configurações inalteradas.

   # Original server block listening on port 80
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # Other configurations
       location / {
           proxy_pass http://127.0.0.1:8000;
       }
   }
   
   # New server block for HTTPS.
   server {
       # Change the original 'listen 80' to 'listen 443 ssl'.
       listen 443 ssl;
       # Original server_name. You can add more domain names supported by the current certificate.
       server_name yourdomain www.yourdomain;
   
       # ======================= Start of certificate configuration =======================
       # Specify the certificate file (the intermediate certificate can be appended to this .pem file). Replace /etc/ssl/cert/ssl.pem with the absolute path of your certificate file.
       ssl_certificate /etc/ssl/cert/ssl.pem;
       # Specify the private key file. Replace /etc/ssl/cert/ssl.key with the absolute path of your private key file.
       ssl_certificate_key /etc/ssl/cert/ssl.key;
       # Configure the SSL session cache to improve performance.
       ssl_session_cache shared:SSL:1m;
       # Set the SSL session timeout period.
       ssl_session_timeout 5m;
       # Customize the TLS protocol types and cipher suites to use (the following is an example configuration; evaluate whether you need to configure it).
       ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
       # Specify the allowed TLS protocol versions. Higher TLS versions provide better security for HTTPS communication, but have poorer browser compatibility than lower TLS versions.
       ssl_protocols TLSv1.2 TLSv1.3;
       # Prioritize the cipher suites specified by the server.
       ssl_prefer_server_ciphers on;
       # ======================= End of certificate configuration =======================
   
       # Other configurations
   }

3. (Opcional) Redirecione HTTP para HTTPS. Adicione a diretiva return ao bloco de servidor da porta 80.

   # Original server block listening on port 80
   server {
       listen 80;
       server_name yourdomain www.yourdomain;
   
       # Redirect all HTTP traffic to HTTPS.
       return 301 https://$host$request_uri;
   
       # Other original configurations can be removed as they will no longer be reached.
   }

4. Teste a configuração em busca de erros de sintaxe.

   sudo nginx -t -c /etc/nginx/nginx.conf

   Se a saída incluir tanto syntax is ok quanto test is successful, a configuração é válida. Caso contrário, corrija os erros relatados e execute o teste novamente.

Recarregar o Nginx

sudo nginx -s reload

nginx

Por que o HTTPS fica inacessível após a instalação?

Verifique os itens a seguir nesta ordem:

• Porta 443 bloqueada — O grupo de segurança ou firewall não permite tráfego de entrada na porta 443. Consulte Abrir a porta 443.

• Incompatibilidade de domínio — O domínio acessado não está listado nos Bound Domains do certificado. Consulte a tabela de cobertura de domínio em Pré-requisitos.

• Nginx não recarregado — A configuração não foi recarregada após as alterações. Execute sudo nginx -s reload.

• Caminhos de arquivo incorretos — As diretivas ssl_certificate ou ssl_certificate_key apontam para caminhos errados. Verifique os caminhos absolutos dos arquivos .pem e .key.

• Certificado ausente em serviços upstream — Se o domínio passar por uma Content Delivery Network (CDN), Server Load Balancer (SLB) ou Web Application Firewall (WAF), o certificado também deve ser instalado nesses serviços. Consulte Locais de implantação de certificado quando o tráfego passa por vários serviços da Alibaba Cloud.

• Certificado não implantado em todos os servidores — Se o DNS do domínio resolver para múltiplos servidores, instale o certificado em cada um deles.

Para mais ajuda, consulte Resolver problemas de implantação de certificados com base em mensagens de erro do navegador e o Guia de solução de problemas de implantação de certificado SSL .

Como atualize ou substituir um certificado SSL sem tempo de inatividade?

1. Faça backup dos arquivos .pem e .key atuais no servidor.

2. Baixe o novo certificado e a chave privada do console Certificate Management Service.

3. Carregue os novos arquivos no servidor, substituindo os existentes. Use exatamente os mesmos caminhos e nomes de arquivos referenciados na configuração do Nginx.

4. Recarregue o Nginx: sudo nginx -s reload.

Como encontro o arquivo de configuração ativo do Nginx (nginx.conf) em um servidor Linux?

1. Execute ps -ef | grep '[n]ginx: master' | grep -- ' -c '. Se a saída incluir algo como -c /etc/nginx/custom.conf, o Nginx está usando esse arquivo de configuração personalizado.

2. Se a etapa 1 não retornar nenhuma saída, o Nginx está usando o caminho padrão compilado. Execute nginx -V 2>&1 | grep -oP -- '--conf-path=[^ ]*' para visualize o caminho padrão, por exemplo --conf-path=/etc/nginx/nginx.conf.

Como desativo TLSv1.0 e TLSv1.1 para corrigir avisos de "certificado não atende aos padrões"?

Defina a diretiva ssl_protocols na configuração do Nginx como:

ssl_protocols TLSv1.2 TLSv1.3;

Isso desativa os protocolos inseguros TLSv1.0 e TLSv1.1. Após salve o arquivo, execute nginx -s reload para aplicar a alteração.

Por que nginx -t falha com bind() to 0.0.0.0:443 failed (98: Address already in use)?

Outro processo já está escutando na porta 443. Execute sudo ss -tlnp | grep :443 para identificá-lo. Em seguida, pare o processo conflitante (como outro servidor web ou uma instância travada do Nginx) ou configure-o para usar uma porta diferente.

Por que nginx -t falha com cannot load certificate "/etc/nginx/ssl/domain.pem": BIO_new_file() failed?

O Nginx não consegue encontrar o arquivo de certificado no caminho especificado na configuração. Corrija a diretiva ssl_certificate no nginx.conf para apontar para o caminho absoluto real do arquivo .pem.

Por que o recarregamento do Nginx falha com the "ssl" parameter requires ngx_http_ssl_module?

A compilação do Nginx está sem o módulo SSL. Instale ou recompile o Nginx com ngx_http_ssl_module ativado. Consulte Instale o módulo SSL.

Por que recebo No such file or directory: fopen('/cert/3970497_demo.aliyundoc.com.pem','r') ao recarregar o Nginx?

O caminho especificado para ssl_certificate ou ssl_certificate_key está incorreto. Verifique se os caminhos na configuração são caminhos absolutos corretos e se os arquivos existem nesses locais.

Por que o Nginx falha ao ler os arquivos de certificado SSL com um erro permission denied?

O usuário do processo worker do Nginx não tem acesso de leitura aos arquivos de certificado.

1. Encontre o usuário worker do Nginx: procure a diretiva user no nginx.conf (por exemplo, user nginx;).

2. Conceda a esse usuário permissão de leitura (r) nos arquivos de certificado e chave privada, e permissão de execução (x) em todos os diretórios pai no caminho.