AWS CloudHSM OpenSSL 공급자와 함께 NGINX 또는 HAProxy를 사용하여 Linux에서 SSL/TLS 오프로드

텍스트 편집기를 사용하여 /etc/nginx/nginx.conf 파일을 편집합니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. 파일의 맨 위에 다음 행을 추가합니다.

env CLOUDHSM_PIN;
env OPENSSL_CONF;

그런 다음 파일의 TLS 섹션에 다음을 추가합니다.

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

텍스트 편집기를 사용하여 /etc/nginx/nginx.conf 파일을 편집합니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. 파일의 맨 위에 다음 행을 추가합니다.

env CLOUDHSM_PIN;
env OPENSSL_CONF;

그런 다음 파일의 TLS 섹션에 다음을 추가합니다.

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

텍스트 편집기를 사용하여 /etc/nginx/nginx.conf 파일을 편집합니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. 파일의 맨 위에 다음 행을 추가합니다.

env CLOUDHSM_PIN;
env OPENSSL_CONF;

그런 다음 파일의 TLS 섹션에 다음을 추가합니다.

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /usr/share/nginx/html;

    ssl_certificate "/etc/pki/nginx/server.crt";
    ssl_certificate_key "/etc/pki/nginx/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/pki/nginx/dhparams.pem 2048
    # ssl_dhparam "/etc/pki/nginx/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

텍스트 편집기를 사용하여 /etc/nginx/nginx.conf 파일을 편집합니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. 파일의 맨 위에 다음 행을 추가합니다.

env CLOUDHSM_PIN;
env OPENSSL_CONF;

그런 다음 파일의 TLS 섹션에 다음을 추가합니다.

# Settings for a TLS enabled server.
server {
    listen       443 ssl http2 default_server;
    listen       [::]:443 ssl http2 default_server;
    server_name  _;
    root         /var/www/html;

    ssl_certificate "/etc/ssl/certs/server.crt";
    ssl_certificate_key "/etc/ssl/private/server.key";
    # It is *strongly* recommended to generate unique DH parameters for DHE ciphers
    # Generate them with: openssl dhparam -out /etc/ssl/certs/dhparams.pem 2048
    # ssl_dhparam "/etc/ssl/certs/dhparams.pem";
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout  10m;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256";
    ssl_prefer_server_ciphers off;

    # Load configuration files for the default server block.
    include /etc/nginx/default.d/*.conf;

    location / {
    }

    error_page 404 /404.html;
    location = /40x.html {
    }

    error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}
        

Linux 루트 사용자는 텍스트 편집기에서 /etc/sysconfig/nginx 파일을 엽니다. 예:

vi /etc/sysconfig/nginx

CU(Cryptography User) 자격 증명과 OpenSSL 구성 파일의 경로를 추가합니다.

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

<CU 사용자 이름> 및 <암호>를 암호화 사용자(Cryptography User) 자격 증명으로 바꿉니다. <path to example-cloudhsm-openssl.cnf>를에서 생성한 구성 파일의 전체 경로로 바꿉니다OpenSSL 공급자용 NGINX를 구성하려면.

파일을 저장합니다.

텍스트 편집기에서 /etc/sysconfig/nginx 파일을 엽니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. CU(Cryptography User) 자격 증명과 OpenSSL 구성 파일의 경로를 추가합니다.

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

<CU 사용자 이름> 및 <암호>를 암호화 사용자(Cryptography User) 자격 증명으로 바꿉니다. <path to example-cloudhsm-openssl.cnf>를에서 생성한 구성 파일의 전체 경로로 바꿉니다OpenSSL 공급자용 NGINX를 구성하려면.

파일을 저장합니다.

텍스트 편집기에서 /etc/sysconfig/nginx 파일을 엽니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. CU(Cryptography User) 자격 증명과 OpenSSL 구성 파일의 경로를 추가합니다.

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

<CU 사용자 이름> 및 <암호>를 암호화 사용자(Cryptography User) 자격 증명으로 바꿉니다. <path to example-cloudhsm-openssl.cnf>를에서 생성한 구성 파일의 전체 경로로 바꿉니다OpenSSL 공급자용 NGINX를 구성하려면.

파일을 저장합니다.

텍스트 편집기에서 /etc/sysconfig/nginx 파일을 엽니다. 여기에는 Linux 루트 권한이 필요할 수 있습니다. CU(Cryptography User) 자격 증명과 OpenSSL 구성 파일의 경로를 추가합니다.

CLOUDHSM_PIN=<CU user name>:<password>
OPENSSL_CONF=<path to example-cloudhsm-openssl.cnf>

<CU 사용자 이름> 및 <암호>를 암호화 사용자(Cryptography User) 자격 증명으로 바꿉니다. <path to example-cloudhsm-openssl.cnf>를에서 생성한 구성 파일의 전체 경로로 바꿉니다OpenSSL 공급자용 NGINX를 구성하려면.

파일을 저장합니다.

모든 NGINX 프로세스 중지

$ systemctl stop nginx

systemd 구성을 다시 로드하여 최신 변경 사항 찾아내기

$ systemctl daemon-reload

NGINX 시작

$ systemctl start nginx

실행 중인 NGINX 프로세스를 모두 중지하기

$ systemctl stop nginx

systemd 구성을 다시 로드하여 최신 변경 사항 찾아내기

$ systemctl daemon-reload

NGINX 프로세스 시작하기

$ systemctl start nginx

실행 중인 NGINX 프로세스를 모두 중지하기

$ systemctl stop nginx

systemd 구성을 다시 로드하여 최신 변경 사항 찾아내기

$ systemctl daemon-reload

NGINX 프로세스 시작하기

$ systemctl start nginx

실행 중인 NGINX 프로세스를 모두 중지하기

$ systemctl stop nginx

systemd 구성을 다시 로드하여 최신 변경 사항 찾아내기

$ systemctl daemon-reload

NGINX 프로세스 시작하기

$ systemctl start nginx

HAProxy 서비스 파일을 백업하고 수정합니다.

$ cp /lib/systemd/system/haproxy.service /lib/systemd/system/haproxy.service.backup

[서비스] 섹션 아래에 다음 줄을 편집/lib/systemd/system/haproxy.service하고 추가합니다.

EnvironmentFile=/etc/sysconfig/haproxy

HAProxy 서비스 파일을 백업하고 수정합니다.

$ cp /lib/systemd/system/haproxy.service /lib/systemd/system/haproxy.service.backup

[서비스] 섹션 아래에 다음 줄을 편집/lib/systemd/system/haproxy.service하고 추가합니다.

EnvironmentFile=/etc/default/haproxy

HAProxy 환경 파일이 있는 경우 백업합니다.

$ cp /etc/sysconfig/haproxy /etc/sysconfig/haproxy.backup

다음 내용을 /etc/sysconfig/haproxy 사용하여 HAProxy 환경 파일을 생성합니다.

CLOUDHSM_PIN=<CU user name>:<password>

HAProxy 환경 파일이 있는 경우 백업합니다.

$ cp /etc/default/haproxy /etc/default/haproxy.backup

다음 내용을 /etc/default/haproxy 사용하여 HAProxy 환경 파일을 생성합니다.

CLOUDHSM_PIN=<CU user name>:<password>