Come generare un CSR su NGINX

In questo tutorial ti mostreremo come generare un CSR su NGINX.

NGINX non genera CSR da solo. Devi creare la chiave privata e il CSR con OpenSSL, quindi configurare NGINX per utilizzare il certificato rilasciato e la chiave tramite ssl_certificate e ssl_certificate_key.

Passo 1: Collegati al terminale del tuo server

Usa SSH per connetterti al tuo server

Passo 2: Creare la chiave privata

Al prompt, esegui il seguente comando:

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out yourdomain.key

Sostituisci esempio con il nome del tuo dominio reale. Ad esempio, se vuoi proteggere il sito www.yourdomain.com, inserisci yourdomain.key e yourdomain.csr.

Nota sulla protezione della chiave: Se generi una chiave non criptata (impostazione predefinita), imposta dei permessi severi (ad esempio, chmod 600 yourdomain.key). Le chiavi non crittografate permettono a NGINX di avviarsi senza una passphrase. Se cripti la chiave, usa il file ssl_password_file di NGINX per fornire la passphrase all’avvio/ricaricamento.

3. Creare il CSR con le SAN

Esegui il comando seguente:

openssl req -new -sha256 -key example.key -out example.csr \
-subj "/C=US/ST=Georgia/L=Atlanta/O=Your Company LLC/CN=yourdomain.com" \
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Sostituisci il segnaposto del tuo dominio con i tuoi nomi di host reali.

Se il tuo OpenSSL non dispone di -addext (versione precedente alla 1.1.1), utilizza un file di configurazione. Crea san.cnf:

[ req ]
default_bits = 2048
prompt = no
distinguished_name = dn
req_extensions = req_ext

[ dn ]
C = US
ST = Georgia
L = Atlanta
O = Your Company LLC
CN = example.com

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = yourdomain.com
DNS.2 = www.yourdomain.com

Quindi esegui il seguente comando:

openssl req -new -sha256 -key yourdomain.key -out yourdomain.csr -config san.cnf

Invia il CSR

L’utility OpenSSL genererà i file .csr e .key nella directory corrente. Incolla il CSR completo (comprese le righe BEGIN/END) nel modulo d’ordine della CA.