SSL/TLS安全评估为B的解决方法

SSL/TLS安全评估为B的解决方法

   10:19       寡人的吐槽胜地

---

近期使用SSL/TLS安全评估报告查询网站SSL安全性的时候网站安全性总是B，现在通过下面的方式可以升级到A或者A+。当然我们也提供了nginx不使用CDN的情况下的配置方案。

使用了Fikker CDN系统

Fikker是一个非常好的反向代理系统, 但是他们的SSL默认配置文件有点问题, 导致SSL评级会比较差, 主要提示是:

服务器易受到POODLE漏洞攻击，降级为C
因为使用RC4密码套件，降级为B






其实Fikker已经提供解决方案了, 只需要修改一下Fikker的SSL配置文件就可以了.
进入Fikker的ssl配置目录, 如

cd /root/fikkerd-3.7.5-linux-x86-64/config/ssl

先备份原来的配置文件

mv ssl.ini ssl.ini.bk  #备份原来的ssl配置
mv ssl.ini.HIGH\! ssl.ini  #生成新的ssl配置

再重启fikkerd服务就好了

cd /root/fikkerd-版本号-linux-x86-64/
./fikkerd.sh restart

再来测试一下


但是要注意, 如果这样设置Windows XP系统的IE 6和IE 8浏览器(不包括其他浏览器)是无法打开HTTPS网站, 详情请看这里:
HTTPS安全与兼容性配置指南

只使用了nginx没有使用CDN的情况下的配置方案

在网站的配置文件中修改为以下内容即可（宝塔页面，lnmp请前往主机的vhost.conf修改）：

    #HTTP_TO_HTTPS_END
    ***
    ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;  #就只需要修改这两行内容就可以了
    ***
    
    #SSL-END

要让修改结果生效，请重启nginx。
其他网页服务器软件请自行百度。

到这里，检查结果只会在A不会到A+，要到A+需要打开HSTS，接下来说说设置HSTS。

设置HSTS

HSTS只支持打开了ssl的网站，并且打开了HSTS就表示这个域名要一直提供ssl服务，中断ssl服务可能让域名无法正常访问，请谨慎设置。


在网站的配置的网站Server_name下添加add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";即可打开HSTS。

server

{
    listen 80;
    listen 443 ssl http2;
    server_name 你的域名;
    add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";  
    #添加这一行代码就可以了，63072000表示63072000秒即一年。
    index index.php index.html index.htm default.php default.htm default.html;
    root /www/wwwroot/你的域名;

设置完HSTS后需要重启Nginx服务方可生效，由于缓存问题，可能无法及时生效，需要等一段时间再去测试，这样就可以达到A+了。

Read More

可以在线获取Let's Encrypt的免费SSL证书的网站

可以在线获取Let's Encrypt的免费SSL证书的网站

   05:23       寡人的吐槽胜地

---

 

获取方法

直接输入域名，然后验证一下域名就可以下载相关的文件了。





有三种验证方式，我直接选择文件验证，不过你也可以选择FTP，给足够的权限，不用你去下载，比较方便。



不过需要注意的是，这个证书3个月后就会到期。所以你到时候需要重新创建一下新的SSL。

可以在网站注册一个账号，会在到期的前一周提醒您。

 

相关连接

SSL For Free：https://www.sslforfree.com/

SSL加密拉：https://www.ssl.la/

Read More

LNMP下Nginx如何设置域名301重定向

LNMP下Nginx如何设置域名301重定向

   06:25       寡人的吐槽胜地

---

LNMP下的Nginx如果想将域名lnmp.org 301重定向到www.lnmp.org，同时www.lnmp.org已经通过/root/vhost.sh添加上，可以按如下步骤修改 使用命令编辑器vi、nano或winscp图形管理软件编辑对应的虚拟主机，一般虚拟主机配置文件位于：/usr/local/nginx/conf/vhost/域名.conf ，如添加的域名是www.lnmp.org则配置文件是/usr/local/nginx/conf/vhost/www.lnmp.org.conf 在配置文件最后面加上如下代码：

例：

省略www.lnmp.org虚拟主机server配置
server {
listen 80;
server_name lnmp.org;
return 301 http://www.lnmp.org$request_uri;
}

如果是想让http强制跳转到https，把里面的http换成https就行。
例：

server {
listen 443 ssl;
server_name www.lnmp.org;
省略其他配置
}
server {
listen 80;
server_name www.lnmp.org;
return 301 https://www.lnmp.org$request_uri;
}

添加完成后保存，执行：/etc/init.d/nginx restart 重启nginx，使其生效

Read More