如何通过openssl生成公钥和私钥？

1、生成RSA秘钥的方法

生成RSA秘钥的方法：

openssl genrsa -des3 -out privkey.pem 2048

注：建议用2048位秘钥，少于此可能会不安全或很快将不安全。

这个命令会生成一个2048位的秘钥，同时有一个des3方法加密的密码，如果你不想要每次都输入密码，可以改成：openssl genrsa -out privkey.pem 2048

2、生成一个证书请求

openssl req -new -key privkey.pem -out cert.csr

这个命令将会生成一个证书请求，当然，用到了前面生成秘钥privkey.pem文件，这里将生成一个新的文件cert.csr，即一个证书请求文件，你可以拿着这个文件去数字证书颁发机构(即CA)申请一个数字证书。CA会给你一个新的文件cacert.pem，那才是你的数字证书。

如果是自己做测试，那么证书的申请机构和颁发机构都是自己。就可以用下面这个命令来生成证书：

openssl req -new -x509 -key privkey.pem -out cacert.pem -days 3650

这个命令将用上面生成的秘钥privkey.pem生成一个数字证书cacert.pem

以上步骤或直接使用一个命令即可：openssl req -x509 -newkey rsa:4096 -sha256 -nodes -keyout privkey.pem -out cacert.pem -days 3650

3、ssl证书在nginx的配置：

server {
    listen       443 ssl;
    server_name  www.a.com;

    charset utf-8;
    #access_log  /var/log/nginx/host.access.log  main;
    
    
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 10m;
    ssl_certificate     /etc/nginx/cacert.pem;
    ssl_certificate_key /etc/nginx/privkey.pem;
    ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on; 
    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
    
    add_header Access-Control-Allow-Origin *;
    add_header Access-Control-Allow-Methods *;
    add_header Access-Control-Allow-Headers *;
    add_header Access-Control-Allow-Credentials true;

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }

    # location / {
    #     proxy_pass   http://xxx:8081/a;
    #     proxy_redirect off;
    #     proxy_set_header Host $host;
    #     proxy_set_header X-Real-IP $remote_addr;
    #     proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    # }
    
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
}

(1)这里的ssl_protocols表示什么意思呢？

在nginx中，ssl_protocols表示支持的SSL/TLS协议版本。SSL/TLS是一种加密协议，用于保证客户端和服务器之间的通信安全。ssl_protocols指定了nginx服务器支持的SSL/TLS协议版本，可以设置多个协议版本，以逗号分隔。常见的SSL/TLS协议版本包括：

• SSLv2：SSL版本2，已经被废弃，不再被安全地使用。

• SSLv3：SSL版本3，已经被广泛使用，但由于存在安全漏洞，已经被TLS取代。

• TLSv1：TLS版本1.0，是SSLv3的升级版，由于安全性更好，被广泛使用。

• TLSv1.1：TLS版本1.1，是TLSv1的升级版，提供更强的安全性。

• TLSv1.2：TLS版本1.2，是TLSv1.1的升级版，目前被视为最安全的TLS协议版本。

• TLSv1.3：TLS版本1.3，是TLSv1.2的升级版，提供更快的握手速度和更好的安全性。

在nginx中，可以使用ssl_protocols指定支持的SSL/TLS协议版本，例如：

ssl_protocols TLSv1.2 TLSv1.3;

这表示nginx服务器只支持TLSv1.2和TLSv1.3两个协议版本，如果客户端使用其他版本的协议进行连接，则会被服务器拒绝。通过设置ssl_protocols，可以提高通信的安全性和可靠性。

(2)ssl_ciphers(我猜的是生成私钥时候所需那个【私钥加密密码】)

获取SSL/TLS加密算法可以参考以下两种方式：

• 查看Nginx官方文档：Nginx官方文档提供了ssl_ciphers配置项的说明，其中包含了一些推荐的加密算法列表，可以作为参考。具体可以参考官方文档：ssl_ciphers

• 使用SSL/TLS在线测试工具：有一些在线测试工具可以帮助你生成安全性较高的SSL/TLS加密算法列表，例如SSL Labs、Mozilla SSL Configuration Generator等。这些工具可以根据你的要求和实际情况生成一个符合要求的加密算法列表。

无论是哪种方式，都需要考虑到实际情况和安全性要求，选择合适的加密算法。可以根据需要进行调整，以达到最优的性能和安全性。

一些中国大陆访问速度较快的SSL/TLS在线测试工具，供您选择：

• SSL Labs：SSL Labs是一个比较知名的在线测试工具，可以测试服务器的SSL/TLS配置，评估安全性等级，并提供优化建议。

• Mozilla SSL Configuration Generator：Mozilla SSL Configuration Generator是一个基于Mozilla的SSL/TLS安全性建议生成加密算法列表的在线测试工具。

• SSL Checker：SSL Checker是一个简单的在线工具，可以测试SSL证书和配置是否有效，支持多种协议和算法。

• Qualys SSL Labs：Qualys SSL Labs是一个全面的在线测试工具，可以测试SSL/TLS配置、证书链、加密算法等多个方面的安全性。

• Hardenize：Hardenize是一个综合的在线测试工具，可以测试SSL/TLS配置、安全性、性能等多个方面的指标，并提供优化建议。
  这些工具都可以根据您的需求和实际情况生成一个符合要求的加密算法列表。