Nginx 使用 ClientSide Certificate Authentication 认证登陆

如果想用 Nginx 保护某一个重要的页面或者程序入口，一般会采用 Basic Authentication 的方式，当用户访问某个页面时，Nginx 会弹出一个输入框，让用户验证用户名和密码。这种方式比较原始，同时在用户比较多的时候管理起来也比较麻烦。因此可以引入 ClientSide Certificate Authentication，即「用户侧证书认证」的方式。其原理是通过 CA 向可信的用户颁发数字证书，用户凭数字证书访问网站，同时这个证书可以设置期限，到期后自动吊销（未到期也可以主动吊销）。

设置 CA

创建 CA 密钥

openssl genrsa -des3 -out ca.key 4096

Generating RSA private key, 4096 bit long modulus (2 primes)
....................................................................................++++
..++++
e is 65537 (0x010001)
Enter pass phrase for ca.key:
Verifying - Enter pass phrase for ca.key:

运行后会要输入口令，这个口令是用来保护 CA 私钥的，必须要记住，而且最好设置一个比较复杂的。

创建 CA 证书

openssl req -new -x509 -days 365 -key ca.key -out ca.crt

创建 CA 证书的时候会用到刚才创建的 CA 密钥的口令，接下来会输入一些证书的基本信息。注意：CA 和用户的 Common Name 不能一样，否则将遇到 Bug 。另外，这里设置 CA 证书的有效期是 365 天，即一年。你可以根据实际情况修改。

Enter pass phrase for ca.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:BJ
Locality Name (eg, city) []:Beijing
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Mihang
Organizational Unit Name (eg, section) []:Tech
Common Name (e.g. server FQDN or YOUR name) []:Mihang #Common Name，不可与用户证书的 Common Name 一致
Email Address []: xxxx@xxxx.com #填写 CA 管理员的邮箱地址

如果你想看证书里面都有啥信息，可以用下面这个命令：

openssl x509 -in ca.crt -noout -text

创建用户证书

用户证书是签发给具体用户的，首先要生成用户密钥、CSR，最后用 CA 证书来签名。

生成用户密钥

openssl genrsa -des3 -out user.key 4096

Generating RSA private key, 4096 bit long modulus (2 primes)
............................++++
........................................................................................................................................++++
e is 65537 (0x010001)
Enter pass phrase for user.key:
Verifying - Enter pass phrase for user.key:

同样的，用户密钥也需要有一个口令进行保护，用户口令和 CA 口令不能一样。

生成 CSR

openssl req -new -key user.key -out user.csr

这一步首先会让输入用户密钥（user.key）的口令，输入后会填写一些基本的证书信息：

Enter pass phrase for user.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:CN
State or Province Name (full name) [Some-State]:BJ
Locality Name (eg, city) []:BeiJing
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Mihang
Organizational Unit Name (eg, section) []:TECH
Common Name (e.g. server FQDN or YOUR name) []:Mihang #注意，这里不能和 CA 证书的 Common Name 一样
Email Address []:noappcn@icloud.com

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []: #不用填，直接回车
An optional company name []: #不用填，直接回车

用 CA 的密钥对 CSR 进行签名

openssl x509 -req -days 365 -in user.csr -CA ca.crt -CAkey ca.key -set_serial 01 -out user.crt

签名时，需要用到 CA 密钥的口令。

生成 PCKS#12（PFX）文件

然后是将证书文件打包成 PCKS#12 格式：

openssl pkcs12 -export -out user.pfx -inkey user.key -in user.crt -certfile ca.crt

注意，第一个要输入的是用户密钥的口令，然后要输入导出口令，这个口令是用来保护 PCKS#12 文件的（不知道口令的人将无法导入证书）

openssl pkcs12 -export -out user.pfx -inkey user.key -in user.crt -certfile ca.crt
Enter pass phrase for user.key:
Enter Export Password:
Verifying - Enter Export Password:

配置 Nginx

在需要用证书保护的 Server 配置块中加入：

ssl_client_certificate /etc/nginx/client_certs/ca.crt;
ssl_verify_client on;
ssl_verify_depth 2;
if ($ssl_client_verify != SUCCESS) { return 400; }

最后重启 Nginx 或者 LNMP 服务。

将 PFX 文件安装到可信的设备

最后，把目录中的 .pfx 文件分发到可信的设备并且导入，即可完成。