Přehled
V tomto článku si projdeme kroky, jak nakonfigurovat původní certifikát Cloudflare SSL s webovým serverem Nginx. Tyto kroky jsou pro webové servery, které běží na Linuxu (CentOS, Debian atd…). Cloudflare je poměrně známá platforma ochrany CDN a DDoS, ale nabízí mnoho dalších služeb – jednou z těchto služeb jsou certifikáty SSL. Pokud již Cloudflare používáte, můžete od nich také získat certifikát SSL. Certifikáty SSL jsou zdarma (i v bezplatném plánu), ale certifikáty původního serveru jsou zdarma. Edge certifikáty nejsou. Jednou nevýhodou původních certifikátů je, že vygenerovaný certifikát je sdílený (jeden ssl certifikát více uživateli), ale dobrou stránkou je, že poskytnutý certifikát může trvat až 15 let a podporuje TLS v1.3, HSTS a Onion. směrování.
Vygenerujte certifikát SSL na Clouflare
Chcete-li tedy získat certifikát SSL od Cloudflare, musíte již používat jejich služby a přidat svou doménu na Cloudflare. Na hlavním panelu přejděte do nabídky SSL/TLS a poté přejděte na server Origin.
Klikněte na možnost Vytvořit certifikát. Poté se zobrazí výzva, ve které musíte vybrat typ klíče (použijte typ RSA). Také vyberte, že chcete, aby Cloudflare vygeneroval klíč za vás.
Poté vyberte, jak dlouho chcete, aby byly platné. Cloudflare nabízí klíče s platností od 7 dnů do 15 let. Jakmile kliknete na tlačítko vytvořit, zobrazí se okno, ve kterém se zobrazí veřejné a soukromé klíče.
Zkopírujte oba klíče. Ty jsou potřeba pro další krok.
Vytvořte soubor certifikátu a soubor soukromého klíče na serveru
Po vygenerování certifikátu SSL je dalším krokem instalace certifikátu na server Linux. K tomu musíme na našem serveru vytvořit dva soubory a do těchto souborů vložit klíče, které jsme zkopírovali z Cloudflare. K vytvoření souborů můžeme jednoduše použít textový editor a poté do nového souboru vložíme kódy klíčů. Každý soubor certifikátu musí jít do konkrétního adresáře. K vytvoření souborů můžete použít tyto příkazy:
sudo nano /etc/ssl/certs/cert.pem sudo nano /etc/ssl/private/key.pem
Jak vidíte, potřebujeme dva soubory pro každý klíč, který jsme zkopírovali z Cloudflare. Také můžete na příkazovém řádku zjistit, kam mají jít, do kterého adresáře. Nejprve soubor cert.pem – do toho vložte kód certifikátu a do souboru key.pem vložte kód soukromého klíče. Jakmile kód vložíte, uložte soubory.
Nakonfigurujte svůj server a Nginx pomocí Cloudflare SSL
Po vytvoření souborů certifikátu nyní musíme nakonfigurovat origin cloudflare ssl s nginx, což znamená – musíme říct nginx, aby použil cloudflare origin ssl, který jsme vygenerovali dříve. Znovu pomocí textového editoru otevřete konfiguraci serveru Nginx pro váš web. Obvykle se nachází na adrese:
etc/nginx/sites-available/default
nebo pokud nepoužíváte výchozí konfigurační soubor a máte pro svůj web specifický konfigurační soubor, upravte tento soubor. V souboru hned za – poslouchejte 80 řádků:přidejte také tyto řádky:
listen 443 ssl http2; listen [::]:443 ssl http2; ssl on; ssl_certificate /etc/ssl/certs/cert.pem; ssl_certificate_key /etc/ssl/private/key.pem;
Uložte soubor a ukončete. Nakonec by nová konfigurace měla vypadat takto:
server {
listen 80;
listen [::]:80;
listen 443 ssl http2;
listen [::]:443 ssl http2;
ssl on;
ssl_certificate /etc/ssl/certs/cert.pem;
ssl_certificate_key /etc/ssl/private/key.pem;
root /var/www/html/;
index index.php index.html index.htm;
server_name somesite.com www.somesite.com;
location / {
try_files $uri $uri/ /index.php?$args;
}
location ~ \.php$ {
include snippets/fastcgi-php.conf;
fastcgi_pass unix:/var/run/php/php7.3-fpm.sock;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
## include fastcgi_params;
}
} Poznámka – řádek názvu serveru by měl odrážet název vaší domény. Výše uvedená položka konfigurace slouží pouze jako příklad.
Jakmile je konfigurace uložena, ukončete editor a restartujte server Nginx:
sudo systemctl restart nginx.service
A to je vše.
Shrnutí
Probrali jsme kroky, jak nakonfigurovat původní Cloudflare SSL s Nginx. Znovu musím konstatovat, že certifikáty původu jsou jediné, které jsou zdarma v plánu Cloudflare zdarma. Nejsou dokonalým řešením SSL, ale fungují docela dobře a podporují mnoho protokolů SSL. Vzhledem k tomu, že nabízejí bezplatné certifikáty až na 15 let, to není vůbec špatné.
Toto samozřejmě není jediný bezplatný způsob, jak zabezpečit svůj web pomocí bezplatného SSL. Další dobrou možností, která je také, ne-li nejoblíbenější, je SSL od služby Let’s encrypt. Probrali jsme stejný proces, jak zabezpečit web Nginx pomocí Let’s Encrypt SSL. Příspěvek můžete zkontrolovat na tomto odkazu.
Děkuji vám za váš čas a doufám, že informace byly užitečné.