Nginx不设置HTTPS默认站点的话，用户通过ip访问443端口可以从服务器返回的证书信息来知道服务器上面跑的HTTPS网站是什么。我们可以通过配置HTTPS默认站点来避免这个问题。
首先，生成一个自签名的证书：
1 2 3 4 5 | openssl genrsa -out hostname-key.pem 2048openssl req -new -key hostname-key.pem -out hostname-request.csropenssl x509 -req -extensions v3_req -days 3650 -in hostname-request.csr -signkey hostname-key.pem -out hostname-cert.pem或者openssl req -x509 -newkey rsa:2048 -sha256 -days 3650 -nodes -keyout hostname.key -out hostname.crt -subj '/CN=notexist.com' -addext 'subjectAltName=DNS:notexist.com,DNS:www.notexist.com' |
然后把hostname-key.pem、hostname-cert.pem复制到/etc/nginx，并修改Nginx的配置文件，添加配置。
1 2 3 4 5 6 7 8 9 10 | server { server_name _; listen 443 ssl http2; ssl_certificate /etc/nginx/hostname-cert.pem; ssl_certificate_key /etc/nginx/hostname-key.pem; ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305; ssl_prefer_server_ciphers on; return 503;} |
此时再尝试使用IP访问443端口，证书是自签名证书，服务器返回的也是503错误，符合预期。
Leave a Reply