Nginx でSSLを使ってみた（追記：SNIを含めてマルチドメインへの対応）

以下に、Nginx でPHPを動かす(php-fpmをバイナリパッケージ(rpm)を作成し、インストールする) [PHP5.2系の場合] でのnginxの簡単な設定例に、SSLの設定を加えてみました。
SSLの設定箇所は、赤：追加で記載しているとことです。

/etc/nginx/nginx.conf で設定する例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

    ...
    # serverタグで各サーバーの設定情報を記述します。
    server {
        listen      80;
        listen      443  default_server ssl;
        ssl_certificate      /etc/pki/CA/certs/www.example.com.crt;
        ssl_certificate_key  /etc/pki/CA/private/www.example.com.key;
        server_name www.example.com;
        index       index.php index.html index.htm;
        root        /var/www/html;
        charset     utf-8;
        access_log  /var/log/httpd/www.example.com.access.log;
        error_log   /var/log/httpd/www.example.com.error.log;
        ...
    }
    ...

ここでの設定は、最も簡単な設定です。以降に簡単な解説をしておきます。
各ディレクティブ （設定項目）の詳細については、SSL関連ディレクティブ（パラメータ）の解説 で詳しく解説していますので、そちらを参照してください。

• 5 行目 : listen TCPポートを指定しています。
  SSL接続のデフォルトポート番号 443 を指定し、このサーバーがデフォルトサーバー(default_server) かつ SSL接続(ssl) であることを明示しています。
• 6 行目 : サーバー証明書ファイルパスを指定してます。
• 7 行目 : サーバー証明書の秘密鍵ファイルパスを指定してます。

実質、この３行を正しく指定してあげれば、SSL接続できます。

/etc/nginx/conf.d/www.example.com.conf で設定する例

CentOS/ScientificLinux などで、公式サイト(http://nginx.org)からインストールした場合、 /etc/nginx/conf.d/ 配下に サイト毎の 拡張子 .conf を付加したファイル名で設定ファイルを作成するようになっています。

ここでは、/etc/nginx/conf.d/www.example.com.conf というファイル名で、以下のような内容となるでしょう。

server {
    listen      80;
    listen      443  default_server ssl;
    ssl_certificate      /etc/pki/CA/certs/www.example.com.crt;
    ssl_certificate_key  /etc/pki/CA/private/www.example.com.key;
    server_name www.example.com;
    index       index.php index.html index.htm;
    root        /var/www/html;
    charset     utf-8;
    access_log  /var/log/httpd/www.example.com.access.log;
    error_log   /var/log/httpd/www.example.com.error.log;
    ...
}

/etc/nginx/nginx.conf の例と同じですが、serverディレクティブのみを記載することになります。 詳細内容については、上記と同じなので、解説は割愛します。

/etc/nginx/sites-available/www.example.com.conf で設定する例

Debian/Ubuntu などでは、各ディストリビューションにてNginxのパッケージが用意されています。 この用意されたNginxをインストールした場合、/etc/nginx/sites-available/ 配下に サイト毎の設定ファイルを適当なファイル名で作成するようになっています。（この場合、拡張子はなんでも可です）

ファイルの中身は、上記の /etc/nginx/conf.d/www.example.com.conf 全く同じになります。 ここでは、/etc/nginx/sites-available/www.example.com.conf というファイル名で作成したとします。 ここで注意しなければならないのは、このままでは、このサイト設定ファイルは有効にならない点です。

有効にするために /etc/nginx/sites-enabled/ 配下に 先の /etc/nginx/sites-available/www.example.com.conf のリンクファイルを作成することで有効化になります。

$ ln -s /etc/nginx/sites-available/www.example.com.conf /etc/nginx/sites-enabled/www.example.com.conf

このようにリンクファイルを作成すると有効となります。

上記では、非常に簡単なSSL接続の例を示しました。
次にマルチドメインによる複数の仮想サイトに対して、SSL接続をさせる設定例を簡単に解説してみます。
この場合、古くからあるSSL接続では、IPアドレスを分けてやることです。
以降に、IPアドレスを分ける設定例を簡単に解説してみます。

/etc/nginx/nginx.conf で設定する例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

    ...
    # server #1 タグで各サーバーの設定情報を記述します。
    server {
        server_name www.example.com;
        listen      192.168.1.1:443  ssl;
        ssl_certificate      /etc/pki/CA/certs/www.example.com.crt;
        ssl_certificate_key  /etc/pki/CA/private/www.example.com.key;
        root        /var/www/html1;
        ...
    }
    # server #2 タグで各サーバーの設定情報を記述します。
    server {
        server_name www.example.org;
        listen      192.168.1.2:443  ssl;
        ssl_certificate      /etc/pki/CA/certs/www.example.org.crt;
        ssl_certificate_key  /etc/pki/CA/private/www.example.org.key;
        root        /var/www/html2;
        ...
    }
    ...

ここでの設定は、最も簡単な設定です。以降に簡単な解説をしておきます。
各ディレクティブ （設定項目）の詳細については、SSL関連ディレクティブ（パラメータ）の解説 で詳しく解説していますので、そちらを参照してください。

• 5 行目 / 14 行目 : listen サーバーのIPアドレス ＋ TCPポートを指定しています。
  先の簡単な設定例とは異なり、IPアドレスを指定していることに注意してください。
• 6 行目 / 15 行目 : それぞれのサーバー証明書ファイルパスを指定してます。
• 7 行目 / 16 行目 : それぞれのサーバー証明書の秘密鍵ファイルパスを指定してます。

ポイントは、IPアドレスの指定だけでしょう。

続けて、IPアドレスを分けることができない場合は、SNIを利用することで実現することができます。

/etc/nginx/conf.d/www.example.com.conf で設定する例

CentOS/ScientificLinux などで、公式サイト(http://nginx.org)からインストールした場合、 /etc/nginx/conf.d/ 配下に サイト毎の 拡張子 .conf を付加したファイル名で設定ファイルを作成するようになっています。

ここでは、/etc/nginx/conf.d/www.example.com.conf および www.example.org.conf というファイル名で、以下のような内容となるでしょう。

/etc/nginx/conf.d/www.example.com.conf

server {
    server_name www.example.com;
    listen      192.168.1.1:443  ssl;
    ssl_certificate      /etc/pki/CA/certs/www.example.com.crt;
    ssl_certificate_key  /etc/pki/CA/private/www.example.com.key;
    root        /var/www/html1;
    ...
}

/etc/nginx/conf.d/www.example.org.conf

server {
    server_name www.example.org;
    listen      192.168.1.2:443  ssl;
    ssl_certificate      /etc/pki/CA/certs/www.example.org.crt;
    ssl_certificate_key  /etc/pki/CA/private/www.example.org.key;
    root        /var/www/html2;
    ...
}

/etc/nginx/nginx.conf の例と同じですが、serverディレクティブのみを記載することになります。 詳細内容については、上記と同じなので、解説は割愛します。

/etc/nginx/sites-available/www.example.com.conf で設定する例

Debian/Ubuntu などでは、各ディストリビューションにてNginxのパッケージが用意されています。 この用意されたNginxをインストールした場合、/etc/nginx/sites-available/ 配下に サイト毎の設定ファイルを適当なファイル名で作成するようになっています。（この場合、拡張子はなんでも可です）

ファイルの中身は、上記の /etc/nginx/conf.d/www.example.com.conf および www.example.org.conf 全く同じになります。 ここでは、/etc/nginx/sites-available/www.example.com.conf というファイル名で作成したとします。 ここで注意しなければならないのは、このままでは、このサイト設定ファイルは有効にならない点です。

有効にするために /etc/nginx/sites-enabled/ 配下に 先の /etc/nginx/sites-available/www.example.com.conf および www.example.org.conf のリンクファイルを作成することで有効化になります。

$ ln -s /etc/nginx/sites-available/www.example.com.conf /etc/nginx/sites-enabled/www.example.com.conf
$ ln -s /etc/nginx/sites-available/www.example.org.conf /etc/nginx/sites-enabled/www.example.org.conf

このようにリンクファイルを作成すると有効となります。

先の設定例では、IPアドレスを分けることでSSL接続するようにしました。 この方法は、古くからある手法です。 ただ、IPアドレスは、IPv4はすでに枯渇していますし、IPアドレスを追加する場合には、それなりに手間と対価が必要となってしまいます。

そこで考えられたのが、SNI(Server Name Indication)です。
以降に、SNIを用いた設定例を簡単に解説してみます。

$ nginx -V
nginx version: nginx/1.6.2
built by gcc 4.7.2 (Debian 4.7.2-5)
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-http_ssl_module --with-http_realip_module --with-http_addition_module --with-http_sub_module --with-http_dav_module --with-http_flv_module --with-http_mp4_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_random_index_module --with-http_secure_link_module --with-http_stub_status_module --with-http_auth_request_module --with-mail --with-mail_ssl_module --with-file-aio --with-http_spdy_module --with-cc-opt='-g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2' --with-ld-opt='-Wl,-z,relro -Wl,--as-needed' --with-ipv6

nginx was built with SNI support, however, now it is linked
dynamically to an OpenSSL library which has no tlsext support,
therefore SNI is not available

/etc/nginx/nginx.confの設定例

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

    ...
    # server #1 タグで各サーバーの設定情報を記述します。
    server {
        server_name www.example.com;
        listen      443  ssl;
        ssl_certificate      /etc/pki/CA/certs/www.example.com.crt;
        ssl_certificate_key  /etc/pki/CA/private/www.example.com.key;
        root        /var/www/html1;
        ...
    }
    # server #2 タグで各サーバーの設定情報を記述します。
    server {
        server_name www.example.org;
        listen      443  ssl;
        ssl_certificate      /etc/pki/CA/certs/www.example.org.crt;
        ssl_certificate_key  /etc/pki/CA/private/www.example.org.key;
        root        /var/www/html2;
        ...
    }
    ...

ここでの設定は、最も簡単な設定です。以降に簡単な解説をしておきます。
各ディレクティブ （設定項目）の詳細については、SSL関連ディレクティブ（パラメータ）の解説 で詳しく解説していますので、そちらを参照してください。

• 5 行目 / 14 行目 : listen TCPポートを指定しています。
  先の簡単な設定例とは異なり、IPアドレスの指定が無くなっていることに注意してください。
• 6 行目 / 15 行目 : それぞれのサーバー証明書ファイルパスを指定してます。
• 7 行目 / 16 行目 : それぞれのサーバー証明書の秘密鍵ファイルパスを指定してます。

ポイントは、IPアドレスの指定有無だけでしょう。

/etc/nginx/conf.d/www.example.com.conf で設定する例

CentOS/ScientificLinux などで、公式サイト(http://nginx.org)からインストールした場合、 /etc/nginx/conf.d/ 配下に サイト毎の 拡張子 .conf を付加したファイル名で設定ファイルを作成するようになっています。

ここでは、/etc/nginx/conf.d/www.example.com.conf および www.example.org.conf というファイル名で、以下のような内容となるでしょう。

/etc/nginx/conf.d/www.example.com.conf

server {
    server_name www.example.com;
    listen      443  ssl;
    ssl_certificate      /etc/pki/CA/certs/www.example.com.crt;
    ssl_certificate_key  /etc/pki/CA/private/www.example.com.key;
    root        /var/www/html1;
    ...
}

/etc/nginx/conf.d/www.example.org.conf

server {
    server_name www.example.org;
    listen      443  ssl;
    ssl_certificate      /etc/pki/CA/certs/www.example.org.crt;
    ssl_certificate_key  /etc/pki/CA/private/www.example.org.key;
    root        /var/www/html2;
    ...
}

/etc/nginx/nginx.conf の例と同じですが、serverディレクティブのみを記載することになります。 詳細内容については、上記と同じなので、解説は割愛します。

/etc/nginx/sites-available/www.example.com.conf で設定する例

Debian/Ubuntu などでは、各ディストリビューションにてNginxのパッケージが用意されています。 この用意されたNginxをインストールした場合、/etc/nginx/sites-available/ 配下に サイト毎の設定ファイルを適当なファイル名で作成するようになっています。（この場合、拡張子はなんでも可です）

ファイルの中身は、上記の /etc/nginx/conf.d/www.example.com.conf および www.example.org.conf 全く同じになります。 ここでは、/etc/nginx/sites-available/www.example.com.conf というファイル名で作成したとします。 ここで注意しなければならないのは、このままでは、このサイト設定ファイルは有効にならない点です。

有効にするために /etc/nginx/sites-enabled/ 配下に 先の /etc/nginx/sites-available/www.example.com.conf および www.example.org.conf のリンクファイルを作成することで有効化になります。

$ ln -s /etc/nginx/sites-available/www.example.com.conf /etc/nginx/sites-enabled/www.example.com.conf
$ ln -s /etc/nginx/sites-available/www.example.org.conf /etc/nginx/sites-enabled/www.example.org.conf

このようにリンクファイルを作成すると有効となります。

上記の設定で、SNIに対応していないブラウザで https://www.example.org へアクセスすると警告メッセージが表示されます。 以下は、Opera 7.54u で https://www.example.org へアクセスした際の警告メッセージです。

ここでもわかるようにSNIに対応していないブラウザは、サイト名を通知してこないので、Nginxはデフォルトサイトと認識し、 www.example.com の証明書、秘密鍵ファイルを使おうとします。そこで、サイト名の不一致となり、上記の警告メッセージとなったようですね。