Подробная инструкция по добавлению универсального самоподписанного сертификата в Nginx
Самоподписанный (self-signed) сертификат — это простой и эффективный способ обеспечить HTTPS-соединение для вашего сервера Nginx, особенно в случаях, когда вы работаете без доменного имени (например, по IP-адресу), для внутренних сетей, тестирования или личного использования. Он не требует внешних удостоверяющих центров (CA), но браузеры покажут предупреждение о небезопасности, поскольку сертификат не проверен доверенным CA. Шифрование при этом работает полноценно.
Эта инструкция основана на стандартных практиках и подходит для большинства дистрибутивов Linux (например, Ubuntu/Debian, CentOS). Предполагается, что Nginx уже установлен и работает. Все команды выполняются с правами root (используйте sudo).
Предварительные требования
Nginx установлен и настроен (проверьте: nginx -v).
Доступ к серверу по SSH или консоли.
Если у вас несколько серверов или контейнеров (например, с Webmin), сертификат Nginx будет независим от их собственных сертификатов. Nginx будет обрабатывать SSL на внешнем уровне, а внутренний трафик может идти по HTTP.
Для доступа по IP: укажите внешний IP в поле Common Name (CN) при генерации, чтобы минимизировать предупреждения в браузере.
Если у вас домен, рассмотрите бесплатный сертификат от Let's Encrypt вместо self-signed (но это выходит за рамки инструкции).
Шаг 1: Создание директории для сертификатов
Создайте защищенную директорию для хранения сертификата и ключа. Это стандартное место для Nginx.
sudo mkdir -p /etc/nginx/ssl
sudo chmod 700 /etc/nginx/ssl
mkdir -p: создает директорию, если она не существует.
chmod 700: обеспечивает доступ только владельцу (root), для безопасности.
Шаг 2: Генерация самоподписанного сертификата
Используйте утилиту openssl (обычно предустановлена; проверьте: openssl version). Это создаст ключ и сертификат в одном шаге.
sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \
-keyout /etc/nginx/ssl/selfsigned.key \
-out /etc/nginx/ssl/selfsigned.crt
Параметры объяснения:
req -x509: создает самоподписанный сертификат.
-nodes: не шифрует ключ паролем (упрощает использование в Nginx).
-days 3650: срок действия 10 лет (можно изменить, например, на 365 для 1 года).
-newkey rsa:2048: генерирует новый RSA-ключ длиной 2048 бит (рекомендуемая длина для безопасности).
-keyout: путь к приватному ключу.
-out: путь к сертификату.
Во время выполнения вас спросят интерактивные вопросы (Subject fields):
Country Name (2 letter code): Например, RU (можно пропустить, нажав Enter).
State or Province Name: Например, Moscow.
Locality Name: Например, Moscow.
Organization Name: Например, My Company.
Organizational Unit Name: Например, IT.
Common Name (CN): Важно! Укажите ваш внешний IP-адрес (например, 203.0.113.50) или домен, если есть. Это должно совпадать с адресом, по которому доступен сервер, чтобы браузер не выдавал дополнительное предупреждение о несоответствии.
Email Address: Опционально.
Если нужно сгенерировать сертификат без вопросов (для автоматизации), добавьте -subj "/CN=your.ip.address".
Шаг 3: Установка прав доступа
Приватный ключ должен быть защищен, чтобы избежать утечек.
sudo chmod 600 /etc/nginx/ssl/selfsigned.key
chmod 600: только владелец (root) может читать/писать.
Шаг 4: Настройка конфигурации Nginx
Добавьте ссылки на сертификат в конфигурационный файл Nginx. Это можно сделать глобально (для всех серверов) или в конкретном server-блоке.
Откройте или создайте конфиг-файл (например, /etc/nginx/conf.d/ssl.conf для глобальной настройки или в /etc/nginx/sites-available/default для конкретного сайта).
Добавьте следующие строки вне server-блоков (для глобального использования) или внутри server-блока:
ssl_certificate /etc/nginx/ssl/selfsigned.crt;
ssl_certificate_key /etc/nginx/ssl/selfsigned.key;
Если сертификат для нескольких портов или серверов: используйте один сертификат для всех (универсальный подход).
В server-блоке добавьте listen с SSL:
server {
listen 443 ssl; # Или ваш порт, например 8443 ssl;
server_name your.ip.address; # Или _ для wildcard
# Другие настройки, например location / { ... }
ssl_certificate /etc/nginx/ssl/selfsigned.crt;
ssl_certificate_key /etc/nginx/ssl/selfsigned.key;
}
Если вы проксируете трафик (например, на контейнеры с Webmin): используйте proxy_pass http://internal-ip:port; внутри location. SSL терминируется на Nginx, внутренний трафик — HTTP (безопасно в локальной сети).
Важно: Создайте сертификат до добавления этих строк, иначе Nginx выдаст ошибку при проверке.
Шаг 5: Проверка и перезагрузка Nginx
Проверьте конфигурацию на ошибки:
sudo nginx -t
Если ошибка "cannot load certificate": проверьте пути к файлам или создайте сертификат заново.
Перезагрузите Nginx:
sudo systemctl reload nginx
Или sudo nginx -s reload (если не используете systemd).
Шаг 6: Тестирование в браузере
Откройте https://your.ip.address:port (например, https://203.0.113.50:8443).
Браузер покажет предупреждение: "Соединение не защищено" (NET::ERR_CERT_AUTHORITY_INVALID).
Нажмите "Дополнительно" > "Перейти на сайт" (или аналог в вашем браузере).
Для постоянного доступа: добавьте исключение в настройках браузера (в Chrome: Settings > Privacy and security > Manage certificates > Import ваш .crt файл).
Если доступ по домену: предупреждение будет слабее, если CN совпадает.
Проверьте SSL: используйте curl -v https://your.ip.address:port или онлайн-инструменты вроде SSL Labs (но для self-signed тест покажет A-рейтинг с предупреждением о доверии).
Возможные проблемы и решения
Конфликт с другими сертификатами: Не возникает, если они в разных сервисах (например, Webmin использует свой miniserv.pem). Nginx обрабатывает свой сертификат независимо.
Предупреждение в браузере не уходит: Нормально для self-signed. Для полного устранения — получите доверенный сертификат (Let's Encrypt для доменов; для IP — ограниченная поддержка с коротким сроком).
Nginx не стартует: Проверьте логи (sudo journalctl -u nginx или /var/log/nginx/error.log). Ошибки часто в путях или правах.
Доступ по нескольким портам: Один сертификат работает для всех listen с ssl.
Обновление сертификата: Когда истечет срок, повторите Шаг 2–5.
Безопасность: Self-signed подходит для внутренних/личных сценариев. Для публичного доступа используйте Let's Encrypt.
Эта инструкция делает настройку универсальной: один сертификат для всего Nginx.