编程知识 cdmana.com

National secret nginx Container actual Fighting

Secret nationalNginxConteneur en action

1.Contexte

​ Secret national actuelSSL(TLCP)La promotion et l'utilisation pratique de,Secret nationalSSLLe labo(www.gmssl.cn)Disponible en version nationaleOpenSSL,Et peut être lié àNginxIntégration,Il est plus pratique de construire des secrets d'ÉtatSSLAgent inverse ou secret d'ÉtatSSLServeur.

​ Secret nationalSSLLe laboratoire n'a pas fourniDockerExemple de,Considérant queDockerL'étendue de,Cet article décrit commentDockerLe secret national est déployé à l'intérieurSSLDeNginxLe processus de construction complet de,À des fins d'étude et de référence seulement.

L'environnement de fonctionnement estCentos7 X86_64.

2.Installationdocker

#Installationdocker 17.03.0 
#InstallationdockerCompter sur troisyumSource:Base,Extras,docker-ce
[[email protected] ~]# wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
[[email protected] ~]# wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
[[email protected] ~]# wget -O /etc/yum.repos.d/docker-ce.repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo

#RégénéreryumCache
[[email protected] ~]# yum clean all
[[email protected] ~]# yum makecache

#Installationdocker Paquets dépendants requis 
[[email protected] ~]# yum -y install https://mirrors.aliyun.com/docker-ce/linux/centos/7/x86_64/stable/Packages/docker-ce-selinux-17.03.0.ce-1.el7.centos.noarch.rpm

#Installationdocker
[[email protected] ~]# yum -y install docker-ce-17.03.0.ce-1.el7.centos

3.Configurer l'accélération du miroir

[[email protected] ~]# mkdir /etc/docker
[[email protected] ~]# cat > /etc/docker/daemon.json<<EOF
> {
>   "registry-mirrors": ["https://si7y70hh.mirror.aliyuncs.com"]
> }
> EOF

[[email protected] ~]# systemctl enable --now docker

4. Préparation de l'environnement du conteneur

#Tirez!centosMiroir
[[email protected] ~]# docker pull centos:centos7.9.2009

#Faire fonctionner le conteneur
[[email protected] ~]# docker run -itd --name nginx centos:centos7.9.2009 
[[email protected] ~]# docker exec -it nginx /bin/bash
[[email protected] /]# yum -y install wget gcc make pcre-devel
[[email protected] ~]# wget http://nginx.org/download/nginx-1.20.1.tar.gz
[[email protected] ~]# tar xf nginx-1.20.1.tar.gz

5.Compilernginx

Téléchargergmssl_openssl_1.1_b4.tar.gzAvecnginx( Voir ressources et téléchargements ),Puis compilez.

[[email protected] ~]# exit
[[email protected] ~]# ls
anaconda-ks.cfg  gmssl_openssl_1.1_b4.tar.gz

#Téléchargergmssl Le paquet est copié dans le conteneur 
[[email protected] ~]# docker cp gmssl_openssl_1.1_b4.tar.gz nginx:/root/
[[email protected] ~]# docker exec -it nginx /bin/bash
[[email protected] /]# cd
[[email protected] ~]# tar xf gmssl_openssl_1.1_b4.tar.gz -C /usr/local/
[[email protected] ~]# cd nginx-1.20.1
[[email protected] nginx-1.20.1]# vi auto/lib/openssl/conf
# Tout sera $OPENSSL/.openssl/Modifier comme suit:$OPENSSL/Et sauvegardez

#Configuration de compilation
[[email protected] nginx-1.20.1]# ./configure \
> --without-http_gzip_module \
> --with-http_ssl_module \
> --with-http_stub_status_module \
> --with-http_v2_module \
> --with-file-aio \
> --with-openssl="/usr/local/gmssl" \
> --with-cc-opt="-I/usr/local/gmssl/include" \
> --with-ld-opt="-lm"

[[email protected] nginx-1.20.1]# make install
[[email protected] nginx-1.20.1]# ln -s /usr/local/nginx/sbin/nginx /usr/sbin/

# Créer un répertoire de certificats et de sous - profils 
[[email protected] nginx-1.20.1]# cd /usr/local/nginx/conf/
[[email protected] conf]# vi nginx.conf
include /usr/local/nginx/conf/conf.d/*.conf;  # Ajouter cet article à http- Oui.

[[email protected] conf]# mkdir ssl
[[email protected] conf]# mkdir conf.d
[[email protected] conf]# exit

6.Faire un miroir

# Conteneur compilé , Emballé dans un miroir 
[[email protected] ~]# docker commit nginx nginx
sha256:742fe82c7114f8272883f3f6a528fc62498cd5044b5ef942acd0bb4014a03467
[[email protected] ~]# docker images
REPOSITORY          TAG                 IMAGE ID            CREATED             SIZE
nginx               latest              742fe82c7114        8 seconds ago       489 MB
centos              centos7.9.2009      8652b9f0cb4c        9 months ago        204 MB

#CompilationDockerfile
[[email protected] ~]# vim Dockerfile
[[email protected] ~]# cat Dockerfile
FROM nginx
LABEL version="1.0"
EXPOSE 80 443
CMD ["nginx", "-g", "daemon off;"]

#Faire un miroir
[[email protected] ~]# docker build -t "gmssl_nginx" .
Sending build context to Docker daemon 6.277 MB
Step 1/4 : FROM nginx
 ---> 742fe82c7114
Step 2/4 : LABEL version "1.0"
 ---> Running in efef92a82f76
 ---> b4305df3867a
Removing intermediate container efef92a82f76
Step 3/4 : EXPOSE 80 443
 ---> Running in c7addc9e5623
 ---> 63050d82a45a
Removing intermediate container c7addc9e5623
Step 4/4 : CMD nginx -g daemon off;
 ---> Running in ed1b4c9789c8
 ---> 8dfbfa5182f9
Removing intermediate container ed1b4c9789c8
Successfully built 8dfbfa5182f9
[[email protected] ~]# docker images
REPOSITORY          TAG                 IMAGE ID            CREATED              SIZE
gmssl_nginx         latest              8dfbfa5182f9        About a minute ago   489 MB
nginx               latest              742fe82c7114        4 minutes ago        489 MB
centos              centos7.9.2009      8652b9f0cb4c        9 months ago         204 MB

7.Conteneur de démarrage

Générer un double certificat secret national ( Voir ressources et téléchargements )Et configurernginx.

#Configurer le Répertoire
[[email protected] ~]# cd conf.d/
[[email protected] conf.d]# cat ssl.conf 
server
{
  listen 0.0.0.0:443 ssl;
  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:AES128-SHA:DES-CBC3-SHA:ECC-SM4-CBC-SM3:ECDHE-SM4-GCM-SM3;
  ssl_verify_client off;

  ssl_certificate /usr/local/nginx/conf/ssl/sm2.test.c.sig.crt.pem;
  ssl_certificate_key /usr/local/nginx/conf/ssl/sm2.test.c.sig.key.pem;

  ssl_certificate_key /usr/local/nginx/conf/ssl/sm2.test.c.enc.key.pem;
  ssl_certificate /usr/local/nginx/conf/ssl/sm2.test.c.enc.crt.pem;

  location /
  {
    root html;
    index index.html index.htm;
  }
}

[[email protected] conf.d]# cd

#Répertoire des certificats
[[email protected] ~]# cd sm2.test.c/
[[email protected] sm2.test.c]# ls
password.txt  sm2.rca.pem          sm2.test.c.enc.cer      sm2.test.c.enc.key              sm2.test.c.enc.key.crypted.bin  sm2.test.c.enc.key.pem  sm2.test.c.sig.cer      sm2.test.c.sig.key     sm2.test.c.sig.key.pem
sm2.oca.pem   sm2.test.c.both.pfx  sm2.test.c.enc.crt.pem  sm2.test.c.enc.key.crypted.b64  sm2.test.c.enc.key.p8           sm2.test.c.enc.pfx      sm2.test.c.sig.crt.pem  sm2.test.c.sig.key.p8  sm2.test.c.sig.pfx
[[email protected] sm2.test.c]# cd

#Conteneur de démarrage
[[email protected] ~]# docker run -itd -p 443:443 -v /root/sm2.test.c/:/usr/local/nginx/conf/ssl/ -v /root/conf.d/:/usr/local/nginx/conf/conf.d --name gmssl_nginx gmssl_nginx
[[email protected] ~]# docker logs -f gmssl_nginx 
OpenSSL(GM version) by www.gmssl.cn. Test Only!!!
OpenSSL(GM version) by www.gmssl.cn. Test Only!!!
OpenSSL(GM version) by www.gmssl.cn. Test Only!!!
OpenSSL(GM version) by www.gmssl.cn. Test Only!!!

8. Accédez à

Télécharger le navigateur secret de Chian Shin ( Voir ressources et téléchargements ) .

Importer le certificat national Michigan :Ouvrir le Navigateur>Paramètres>Paramètres avancés>Gestion des certificats> Importer un certificat . Importer une chaîne de certificats

Modifier la résolution locale :C:\Windows\System32\drivers\etc\hosts .hosts Ajouter une adresse de résolution au fichier

Ouvrir l'accès au navigateur

9.CompletDockerfile

Conteneur téléchargé dockerhub( Voir ressources et téléchargements ) .

[[email protected] nginx]# ls
Dockerfile  gmssl_openssl_1.1_b4.tar.gz  nginx-1.20.1.tar.gz
[[email protected] nginx]# cat Dockerfile 
FROM centos:centos7.9.2009    #Basé surcentos7.9.2009Miroir
RUN yum install -y gcc make pcre-devel    # Installer des paquets d'environnement dépendants 
ADD nginx-1.20.1.tar.gz /root/     # Copier le code source dans le répertoire spécifié ,Et décompresser
ADD gmssl_openssl_1.1_b4.tar.gz /usr/local/
WORKDIR /root/nginx-1.20.1/    # Spécifiez le Répertoire d'exécution pour la commande suivante 
RUN sed -in "s/\.openssl\///g" auto/lib/openssl/conf && \
 ./configure --without-http_gzip_module --with-http_ssl_module --with-http_stub_status_module --with-http_v2_module --with-file-aio --with-openssl="/usr/local/gmssl" --with-cc-opt="-I/usr/local/gmssl/include" --with-ld-opt="-lm" && \
 make install && \
 mkdir /usr/local/nginx/conf/conf.d && \
 mkdir /usr/local/nginx/conf/ssl && \
 sed -i '$i  \    include /usr/local/nginx/conf/conf.d/*.conf;' /usr/local/nginx/conf/nginx.conf
EXPOSE 80 443       # Déclarer les ports exposés 
VOLUME ["/usr/local/nginx/conf/conf.d/","/usr/local/nginx/conf/ssl/"]     # Spécifier le point de montage 
CMD ["/usr/local/nginx/sbin/nginx","-g","daemon off;"]     #Pour gardernginx Le conteneur ne sort pas ,FermernginxEn coulisses

[[email protected] nginx]# docker build -t gmssl_nginx:v1 .    # Construire des étiquettes en utilisant des fichiers dans le répertoire courant gmssl_nginx:v0Miroir de

10. Ressources et téléchargements

1) Version secrète nationale OpenSSLTélécharger:

https://www.gmssl.cn/gmssl/To...

2)NginxTéléchargement de la dernière version:

http://nginx.org/download/ngi...

3) Génération de certificats doubles nationaux :

https://www.gmssl.cn/gmssl/in...

4) Téléchargement du navigateur secret de chianxin :

https://www.gmssl.cn/gmssl/To...

5)Secret nationalNginx Téléchargement de conteneurs :

docker pull keyaas2021/gmssl_nginx:v1.0

版权声明
本文为[Gmssl]所创,转载请带上原文链接,感谢
https://cdmana.com/2021/09/20210914165814425X.html

Scroll to Top