Как сгенерировать CSR на NGINX

В этом уроке мы покажем Вам, как сгенерировать CSR на NGINX.

NGINX не генерирует CSR самостоятельно. Вы создаете закрытый ключ и CSR с помощью OpenSSL, а затем настраиваете NGINX на использование выданного сертификата и ключа с помощью ssl_certificate и ssl_certificate_key.

Шаг 1: Подключитесь к терминалу Вашего сервера

Используйте SSH для подключения к Вашему серверу

Шаг 2: Создайте закрытый ключ

В приглашении выполните следующую команду:

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out yourdomain.key

Замените example на Ваше настоящее доменное имя. Например, если Вы хотите защитить www.yourdomain.com, введите yourdomain.key и yourdomain.csr.

Примечание по защите ключей: Если Вы генерируете незашифрованный ключ (здесь по умолчанию), установите строгие права доступа (например, chmod 600 yourdomain.key). Незашифрованные ключи позволяют NGINX запускаться без парольной фразы. Если Вы зашифровали ключ, используйте файл ssl_password_file NGINX для ввода парольной фразы при запуске/перезагрузке.

3. Создание CSR с помощью SAN

Выполните приведенную ниже команду:

openssl req -new -sha256 -key example.key -out example.csr \
-subj "/C=US/ST=Georgia/L=Atlanta/O=Your Company LLC/CN=yourdomain.com" \
-addext "subjectAltName=DNS:yourdomain.com,DNS:www.yourdomain.com"

Замените вставку Yourdomain на Ваши настоящие имена хостов.

Если в Вашем OpenSSL отсутствует -addext (старше версии 1.1.1), используйте файл конфигурации. Создайте файл san.cnf:

[ req ]
default_bits = 2048
prompt = no
distinguished_name = dn
req_extensions = req_ext

[ dn ]
C = США
ST = Джорджия
L = Атланта
O = Ваша компания LLC
CN = example.com

[ req_ext ]
subjectAltName = @alt_names

[ alt_names ]
DNS.1 = yourdomain.com
DNS.2 = www.yourdomain.com

Затем выполните следующую команду:

openssl req -new -sha256 -key yourdomain.key -out yourdomain.csr -config san.cnf

Отправьте CSR

Утилита OpenSSL сгенерирует Ваши файлы .csr и .key в текущей директории. Вставьте полный CSR (включая строки BEGIN/END) в форму заказа CA.