nginx - 如何通过 digicert 发放的免费证书，实现 ssl 双向认证？我操作了下，但是不成功，该如何实现？

Question

我首先申请了免费的 digicert 证书，服务端用的 nginx。得到了两个文件 domain.pem, domain.key
这样配置的 nginx

listen 443 ssl;ssl_certificate the_path_of_domain.pem;ssl_certificate_key the_path_of_domain.key;ssl_client_certificate the_path_of_domain.pem;ssl_verify_client on;ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers "HIGH:!aNULL:!MD5 or HIGH:!aNULL:!MD5:!3DES";ssl_prefer_server_ciphers on;

然后通过 curl 测试，失败

curl --cert domain.pem --key domain.key https://domain

更改了 ssl_verify_depth 的值也不可以。

需求帮助

Answer 1

digicert的证书，是给服务端签发的证书，配置在ssl_certificate和ssl_certificate_key。

你要配双向认证的话，得自己弄个CA，自己签个客户端的证书，ssl_client_certificate 这里应该是指向你的CA证书，不是digicert的域名证书。

---

用easyrsa来演示一下：

1. 开始使用easy-rsa

   apt install easy-rsacd /optcp /usr/share/easy-rsa . -acd easy-rsa

2. 初始化 公钥基础设施 pki
   ./easy-rsa init-pki #初始化后，会在当前目录下创建一个pki文件夹，后续签发的证书都在里面。
3. 创建CA
   ./easy-rsa build-ca #是交互式洁面，按照提示输入即可，需要记住CA的私钥密码。
4. 创建自签的客户端证书
   ./easy-rsa build-client-full <证书名字> nopass #会提示输入CA的私钥密码。

ca证书的目录是 ./pki/ca.crt
证书目录是 ./pki/issue/<证书名字>.crt
证书私钥目录是 ./pki/private/<证书名字>.crt