Cent7安装Nginx配置双向验证
内容提要
本文介绍了在Linux下进行SSL双向认证的流程和实践，包括申请证书、配置Nginx和转换证书格式。
延伸解读
双向认证与单向认证的核心差异
单向认证中，浏览器仅验证服务端证书，确保连接的是合法服务器；而双向认证要求客户端也提供证书，服务端验证客户端身份。这能防止未授权客户端访问，适用于网银等敏感场景。文章详细对比了两者的握手流程，指出双向认证在服务端验证客户端证书后，才会继续密钥交换，从而提升整体安全性。
自签证书的测试用途与生产限制
文章演示了使用OpenSSL手动生成CA、服务端和客户端证书的完整过程，并强调自签证书仅用于测试环境。生产环境中必须使用CA签发的证书，否则浏览器会提示不安全。自签证书的配置步骤包括生成私钥、CSR、签发证书，并在Nginx中指定证书路径和客户端CA根证书，同时设置ssl_verify_client选项控制验证行为。
Nginx配置中的客户端证书验证细节
在Nginx中启用双向认证，需配置ssl_client_certificate指向客户端CA根证书，并设置ssl_verify_client为on或optional。若设为optional，可通过if条件判断$ssl_client_verify变量，对验证失败请求进行重定向。此外，Nginx可将客户端证书信息通过proxy_set_header传递给后端，如X-SSL-CERT-DN和X-SSL-CERT-VERIFY，便于后端应用获取客户端身份。
客户端证书生成与格式转换要点
生成客户端证书需先创建CA私钥和根证书，再生成客户端私钥和CSR，最后用CA签发。证书包含地区、公司、Common Name等信息，可自定义。为方便浏览器导入，常将crt和key转换为pfx或p12格式。文章还提供了crt转pfx、pfx转jks等常用格式转换命令，并附有一键生成脚本，简化了重复操作。
Q&A
什么是SSL双向认证？
SSL双向认证是指客户端和服务端相互认可，以提高安全性，避免伪造的服务端或恶意客户端访问。
如何在Nginx中启用HTTPS？
在Nginx中启用HTTPS的步骤包括申请证书、下载证书并修改Nginx配置，然后重新加载配置。
双向认证与单向认证有什么区别？
双向认证要求客户端提供证书，而单向认证只要求服务端提供证书。
如何生成客户端证书？
生成客户端证书的流程包括制作CA私钥、生成客户端私钥和CSR文件，然后使用CA证书进行签发。
如何测试客户端证书的有效性？
可以使用curl命令测试客户端证书的有效性，命令中需包含客户端证书和私钥。
在Linux下如何转换SSL证书格式？
可以使用openssl命令进行SSL证书格式转换，例如将crt转换为pfx格式。
