Cómo generar una CSR en NGINX

En este tutorial, le mostraremos cómo generar un CSR en NGINX.

NGINX no genera CSRs por sí mismo. Creas la clave privada y la CSR con OpenSSL, y luego configuras NGINX para que utilice el certificado emitido y la clave mediante ssl_certificate y ssl_certificate_key.

Paso 1: Conéctese al terminal de su servidor

Utiliza SSH para conectarte a tu servidor

Paso 2: Crear la clave privada

En el prompt, ejecute el siguiente comando:

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out yourdomain.key

Sustituya ejemplo por su nombre de dominio real. Por ejemplo, si quieres asegurar www.yourdomain.com, introduce tudominio.key y tudominio.csr

Nota sobre la protección de la clave: Si generas una clave sin cifrar (por defecto aquí), establece permisos estrictos (por ejemplo, chmod 600 tudominio.clave). Las claves sin cifrar permiten que NGINX se inicie sin una frase de contraseña. Si encriptas la clave, utiliza el archivo ssl_password_file de NGINX para proporcionar la frase de contraseña al iniciar/recargar.

3. Crea el CSR con SANs

Ejecute el siguiente comando:

openssl req -new -sha256 -key example.key -out example.csr \
-subj "/C=US/ST=Georgia/L=Atlanta/O=Your Company LLC/CN=yourdomain.com" \
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Sustituye el marcador de posición de tu dominio por tus nombres de host reales.

Si tu OpenSSL carece de -addext (anterior a la versión 1.1.1), utiliza un archivo de configuración. Crea san.cnf:

[ req ]
default_bits = 2048
prompt = no
distinguished_name = dn
req_extensions = req_ext

[ dn ]
C = EE.UU.
ST = Georgia
L = Atlanta
O = Tu empresa LLC
CN = ejemplo.com

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = tudominio.com
DNS.2 = www.yourdomain.com

A continuación, ejecuta el siguiente comando:

openssl req -new -sha256 -key yourdomain.key -out yourdomain.csr -config san.cnf

Envía el CSR

La utilidad OpenSSL generará tus archivos .csr y .key en el directorio actual. Pega la CSR completa (incluidas las líneas BEGIN/END) en tu formulario de pedido de CA.