ssl证书
分类
证书根据不同的验证级别，分为以下三类：
- 域名型SSL（DV SSL）
- 企业型SSL（OV SSL）
- 增强型SSL（EV SSL）
根据保护域名的数量需求，SSL 证书又分为：
- 单域名版：只保护一个域名，例如 www.abc.com 或者 login.abc.com 之类的单个域名
- 多域名版：一张证书可以保护多个域名，例如同时保护 www.abc.com , www.bcd.com, pay.efg.com 等
- 通配符版：一张证书保护同一个主域名下同一级的所有子域名，不限个数，形如 *.abc.com 。
注意，通配符版只有 DVSSL 和 OVSSL 具有， EVSSL 不具有通配符版本。
DV和OV型证书区别
https://www.myssl.cn/home/article-61.html
DV型证书不包含企业名称信息；而OV型证书包含企业名称信息，以下是两者差别对比表：
DV和OV型证书在用户查看证书的详情是，OV型证书会在证书的Subject中显示域名+单位名称等信息；DV型证书只会在证书的Subject中显示域名，如下两图：
OV型和EV型证书的区别
OV型和EV型证书，都包含了企业名称等信息，但EV证书因为其采用了更加严格的认证标准，浏览器对EV证书更加“信任”，当浏览器访问到EV证书时，可以在地址栏显示出公司名称，并将地址栏变成绿色。
一图带你读懂DV、OV、EV三种SSL证书的区别（http://wemedia.ifeng.com/66635801/wemedia.shtml）
一般情况下，企业类网站使用的OV SSL证书比较多，而且价格也适中，在大众用户可接受范围内。
EV SSL
是 Extended Validation SSL（扩展验证型SSL） 的英文缩写，遵循全球统一的严格身份验证标准，是目前业界安全级别最高的Class 4级SSL证书。适合品牌官网、金融证券、网上银行、第三方支付、网上商城等，需要用户高度信任的网站及系统。
不是任何CA机构都能签发EV SSL证书
申请ssl证书
https://help.aliyun.com/knowledge_detail/42218.html#concept-b4f-mrp-ydb
使用OpenSSL工具生成CSR文件
1、安装OpenSSL工具。
2、执行命令openssl req -new -nodes -sha256 -newkey rsa:2048 -keyout myprivate.key -out mydomain.csr生成CSR文件。其中，
-new 指定生成一个新的CSR。
-nodes 指定私钥文件不被加密。
-sha256 指定摘要算法。
-keyout 生成私钥文件。
-newkey rsa:2048 指定私钥类型和长度。
说明： 证书服务系统对CSR文件的密钥长度有严格要求，密钥长度必须是2,048位，密钥类型必须为RSA。如果申请证书是多域名或者通配子域名，在 Common Name或 What is your first and last name?字段只需要输入一个域名即可（通配子域名可以输入*.example.com等）。
3、生成CSR文件mydomain.csr。
需要输入的字段说明如下：
Organization Name(O)： 申请单位名称法定名称，可以是中文或英文。
Organization Unit(OU)： 申请单位的所在部门，可以是中文或英文。
Country Code©： 申请单位所属国家，只能是两个字母的国家码。例如，中国只能是CN。
State or Province(S)： 申请单位所在省名或州名，可以是中文或英文。
Locality(L)： 申请单位所在城市名，可以是中文或英文。
Common Name(CN)： 申请SSL证书的具体网站域名。
完成命令提示的输入后，会在当前目录下生成myprivate.key（私钥文件）和 mydomain.csr（CSR，证书请求文件）两个文件。
说明
在使用OpenSSL工具生成中文证书时需要注意中文编码格式必须使用UTF8编码格式。同时，需要在编译OpenSSL工具时指定支持UTF8编码格式。
如果您需要输入中文信息，建议您使用Keytool工具生成CSR文件。
使用Keytool工具生成CSR文件
1、安装Keytool工具，Keytool工具一般包含在Java Development Kit（JDK）工具包中。
2、使用Keytool工具生成keystore证书文件。
说明 Keystore证书文件中包含密钥，导出密钥方式请参考主流数字证书都有哪些格式？。
执行命令keytool -genkey -alias mycert -keyalg RSA -keysize 2048 -keystore ./mydomain.jks生成 keystore证书文件。其中，
-keyalg 指定密钥类型，必须是RSA。
-keysize 指定密钥长度为 2,048。
-alias 指定证书别名，可自定义。
-keystore 指定证书文件保存路径。
输入证书保护密码，然后根据下表依次输入所需信息：
问题 说明 示例
What is your first and last name? 申请证书的域名 www.example.com
What is the name of your organizational unit? 部门名称 IT Dept.
What is the name of your organization? 公司名称 HangZhou xxx Technologies,Ltd.
What is the name of your City or Locality? 所在城市 HangZhou
What is the name of your State or Province? 所在省份 ZheJiang
What is the two-letter country code for this unit? ISO 国家代码（两位字符） CN
输入完成后，确认输入内容是否正确，输入Y表示正确。
根据提示输入密钥密码。可以与证书密码一致，如果一致直接按回车键即可。
3、通过证书文件生成证书请求。
执行命令keytool -certreq -sigalg SHA256withRSA -alias mycert -keystore ./mydomain.jks -file ./mydomain.csr生成CSR文件。其中，
sigalg指定摘要算法，使用SHA256withRSA。
alias指定别名，必须与keystore文件中的证书别名一致。
keystore指定证书文件。
file指定证书请求文件（CSR）。
根据提示输入证书密码即可以生成mydomain.csr。
下载证书
下载的zip压缩文件中包含一个后缀名为pem的证书文件
部署
参考： https://help.aliyun.com/knowledge_detail/95491.html
62 server {
63 listen 443 ssl http2 default_server;
64 listen [::]:443 ssl http2 default_server;
65 server_name www.example.com;
66 root /usr/share/nginx/html;
67
68 ssl_certificate "/etc/nginx/cert/www.pem"; ca机构给你发的证书
69 ssl_certificate_key "/etc/nginx/cert/www.key"; 你自己生成csr证书请求时用的的私钥
70 ssl_session_cache shared:SSL:1m;
71 #ssl_session_timeout 10m;
72 ssl_session_timeout 5m;
73 #ssl_ciphers HIGH:!aNULL:!MD5;
74 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
75 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
76 ssl_prefer_server_ciphers on;
77
78 # Load configuration files for the default server block.
79 include /etc/nginx/default.d/*.conf;
80
81 location / {
82 proxy_pass www.example.com:8080
83 }
84
85 error_page 404 /404.html;
86 location = /40x.html {
87 }
88
89 error_page 500 502 503 504 /50x.html;
90 location = /50x.html {
91 }
92 }
93