如何利用自签名证书搞定本地直连https

最近由于测试环境开启了Https，导致了原先通过Nginx直接反向代理server地址的本地转发方法失效，只能看着测试环境却无法调试，今天我来尝试用自签名证书的方法解决这个问题。

利用OpenSSL制作一个本地的自签名证书

具体方法参考链接

生成私钥

# genra	生成RSA私钥
# -des3	des3算法
# -out server.key 生成的私钥文件名
# 2048 私钥长度
openssl genrsa -des3 -out server.pass.key 2048

这步要输入两次相同的密码，四位就够了，用1234就行，第二步还要用

去除私钥中的密码

openssl rsa -in server.pass.key -out server.key

这步要输入上一步的密码来去除密码

生成CSR(证书签名请求)

# req 生成证书签名请求
# -new 新生成
# -key 私钥文件
# -out 生成的CSR文件
# -subj 生成CSR证书的参数
openssl req -new -key server.key -out server.csr

除了Common Name之外的内容都直接回车跳过即可，重点是Common Name要写上这个https的域名或者泛域名

生成自签名SSL证书

# -days 证书有效期
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

X.509证书包含三个文件：key，csr，crt。 key是服务器上的私钥文件，用于对发送给客户端数据的加密，以及对从客户端接收到数据的解密 csr是证书签名请求文件，用于提交给证书颁发机构（CA）对证书签名 crt是由证书颁发机构（CA）签名后的证书，或者是开发者自签名的证书，包含证书持有人的信息，持有人的公钥，以及签署者的签名等信息备注：在密码学中，X.509是一个标准，规范了公开秘钥认证、证书吊销列表、授权凭证、凭证路径验证算法等。

以上步骤如果嫌麻烦也可以直接用链接里的自动生成脚本，效果一样。

配置Nginx

upstream dcos_server {
  server openapi.default.svc.cluster.local:9529; # vpn address 这里一定要用后端服务的内部地址，因为ip和公网地址都已经被包了ssl
}
server {
  listen 80; # default_server;
  listen 443 ssl; # default_server;

  ssl_certificate /Users/chenweitao/cert/prod/server.crt;
  ssl_certificate_key /Users/chenweitao/cert/prod/server.key;

  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ...
}