Nginx配置ssl_client_certificate客户端认证问题

问题1: ssl_client_certificate 配置的CA证书格式错误

参考Mini tutorial for configuring client-side SSL certificatesClient Side Certificate Auth in Nginx配置客户端的证书认证,配置好后,在浏览器使用证书认证报400错误

400 Bad Request

No required SSL certificate was sent

按照教程,生成相关证书都没有问题,在配置nginx的ssl_client_certificate需要把CA证书改用pem格式。

转换如下:

sudo openssl x509 -in ca.crt -out ca.pem -outform PEM

nginx配置如下:

server {
  listen 443;
  server_name admin.majing.io;
  ssl on;
  root html;
  index index.html index.htm;
  ssl_certificate server.pem;
  ssl_certificate_key server.key;
  ssl_session_timeout 5m;
  ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_prefer_server_ciphers on;

  ssl_client_certificate ca.pem;
  ssl_verify_client on;

  location / {
    root /usr/share/nginx/html;
    index index.html index.htm;
  }
}

参考:ssl_client_certificate

问题2: ssl_client_certificate所配置证书不需要和server证书属于同一个CA根证书

server证书用于ssl服务器端认证,在生产环境一定要使用CA机构颁发的证书。

ssl_client_certificate配置的是客户端认证。

问题3 curl测试

使用curl测试部署,如果客户端证书需要密码,则需要使用冒号在crt文件后添加密码。

curl -v -s -k --key /etc/nginx/certs/client.key --cert /etc/nginx/certs/client.crt:12345 https://example.com

版权声明:著作权归作者所有。

相关推荐

Nginx配置代理gRPC

Nginx 1.13.10新增了对gRPC的原生支持。本文介绍如何配置Nginx的gRPC。安装NginxNginx版本要求:1.13.10。gRPC必须使用HTTP/2传输数据,支持明文和TLS加密数据,支持流数据的交互。这是为了充分利用 HTTP/2 连接的多路复用和流式特性。所以在安装部署nginx时需要安装http/2。使用源码安装,编译时需要加入http_s

nginx配置Basic认证

最近在搭建kibana时,发现kibana是没有提供认证功能,所以想到给它加一个认证,最简单的就是basic auth认证。下面记录下nginx配置basic认证的过程。添加Basic Auth认证需要先创建密码文件,这里使用htpasswd。如果没有找到htpasswd命令,可以先安装httpd-tools。安装httpd-toolsyum install 

nginx配置gzip压缩

配置在nginx.conf的http节点,添加gzip配置如下:http {   gzip on;   gzip_min_length 1k;   gzip_buffers 4 16k;   gzip_comp_level 2;   gzip_types text/plain text/c

Nginx使用upstream配置负载均衡

nginx主要使用upstream配置多个服务器,设置负载均衡策略。基本配置upstreamupstream example.com{    server host1;    server host2;  }  serverserver {     listen 90;

Nginx配置WebSocket

Nginx配置WebSocketserver {     listen       80;     server_name  example.com;     location&