在Tengine服务器安装国密SSL证书（Linux）

步骤一：下载SSL证书

1. 进入SSL证书管理页面，定位需部署的目标证书，并确认以下信息：

   1. 证书状态：确保其为已签发。若为即将过期或已过期，则需续费SSL证书。

   2. 绑定域名：确保其能够匹配所有需保护的域名，否则未匹配的域名访问 HTTPS 时将出现安全警告。如需添加或修改，请参见追加和更换域名。

      确认证书是否匹配目标域名

      证书的绑定域名可包含多个精确域名和通配符域名。每类域名的匹配规则如下：

      • 精确域名：仅对指定域名生效。

        • example.com 仅对 example.com 生效。

        • www.example.com 仅对 www.example.com 生效。

      • 通配符域名：仅对其一级子域名生效。

        • *.example.com 对 www.example.com、a.example.com 等一级子域名生效。

        • *.example.com 对根域名 example.com 和多级子域名 a.b.example.com 不生效。

      说明

      如需匹配多级子域名，绑定域名中需包含该域名（如 a.b.example.com），或包含相应的通配符域名（如 *.b.example.com）。

2. 在目标证书的操作列单击下载，然后下载服务器类型为 Nginx 的证书。

3. 解压下载的证书压缩包，其中包含以下文件：

   • 签名证书：<证书绑定域名>_sm2_sign.pem 和 <证书绑定域名>_sm2_sign.key。

   • 加密证书：<证书绑定域名>_sm2_enc.pem 和 <证书绑定域名>_sm2_enc.key。

     说明

     若申请证书时使用 OpenSSL 或 Keytool 生成 CSR 文件，私钥仅保存在本地，下载的证书包中不包含私钥。如私钥遗失，证书将无法使用，需重新购买正式证书并生成 CSR 和私钥。

步骤二：在Tengine服务器安装证书

1. 登录 Linux 服务器。

   • 阿里云服务器：请参考使用Workbench登录Linux实例。

   • 非阿里云服务器：请通过对应厂商提供的远程连接功能登录服务器终端。

   后续部分命令因操作系统类型不同而略有差异。请根据实际的服务器操作系统，选择对应的命令操作。

   • RHEL/CentOS 系列：包括 Alibaba Cloud Linux、Red Hat Enterprise Linux、CentOS、AlmaLinux、Rocky Linux、Anolis OS 及其衍生版本。

   • Debian/Ubuntu 系列：包括 Debian、Ubuntu 及其衍生版本。

   如何确认操作系统所属系列

   在服务器终端执行 cat /etc/os-release，根据输出的 ID_LIKE、ID 判断：

   • 若 ID_LIKE 或 ID 包含 rhel 或 centos，操作系统属于 RHEL/CentOS 系列。

   • 若 ID_LIKE 或 ID 包含 debian 或 ubuntu，操作系统属于 Debian/Ubuntu 系列。

2. 开放安全组和防火墙的 443 端口。

   1. 在服务器终端执行以下命令，检测443端口的开放情况：

      RHEL/CentOS

      command -v nc > /dev/null 2>&1 || sudo yum install -y nc
      # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

      如果输出 Ncat: Connected to <当前服务器公网 IP>:443，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

      Debian/Ubuntu

      command -v nc > /dev/null 2>&1 || sudo apt-get install -y netcat
      # 请将以下的 <当前服务器的公网 IP> 替换为当前服务器的公网 IP
      sudo ss -tlnp | grep -q ':443 ' || sudo nc -l -p 443 & sleep 1; nc -w 3 -vz <当前服务器的公网 IP> 443

      若输出 Connection to <当前服务器公网 IP> port [tcp/https] succeeded! 或 [<当前服务器公网 IP>] 443 (https) open，则表明443端口已开放。否则需在安全组和防火墙中开放443端口。

   2. 在安全组配置开放443端口。

      请确保安全组已开放 443 端口 (TCP)，否则外部无法访问服务。以下操作以阿里云 ECS 为例：

      1. 进入云服务器ECS实例页面，选择目标 ECS 实例所在地域，单击目标实例名称，进入实例详情页。

      2. 单击安全组 > 内网入方向全部规则，确保存在一条授权策略为允许、协议类型为 TCP、目的端口范围为 HTTPS(443)、授权对象为任何位置(0.0.0.0/0)（或其它地址，确保 PC 可远程访问即可）的规则。

      3. 如不存在上述规则，请参照添加安全组规则在目标安全组中添加相应规则。

   3. 在防火墙中开放443端口。

      执行以下命令，识别系统当前的防火墙服务类型：

      if command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet firewalld; then
          echo "firewalld"
      elif command -v ufw >/dev/null 2>&1 && sudo ufw status | grep -qw active; then
          echo "ufw"
      elif command -v nft >/dev/null 2>&1 && sudo nft list ruleset 2>/dev/null | grep -q 'table'; then
          echo "nftables"
      elif command -v systemctl >/dev/null 2>&1 && systemctl is-active --quiet iptables; then
          echo "iptables"
      elif command -v iptables >/dev/null 2>&1 && sudo iptables -L 2>/dev/null | grep -qE 'REJECT|DROP|ACCEPT'; then
          echo "iptables"
      else
          echo "none"
      fi

      若输出为 none，则无需进一步操作。否则，请根据输出的类型（firewalld、ufw、nftables、iptables），执行以下命令开放 443 端口：

      firewalld

      sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

      ufw

      sudo ufw allow 443/tcp

      nftables

      sudo nft add table inet filter 2>/dev/null
      sudo nft add chain inet filter input '{ type filter hook input priority 0; }' 2>/dev/null
      sudo nft add rule inet filter input tcp dport 443 counter accept 2>/dev/null

      iptables

      sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

      为避免 iptables 规则在系统重启后失效，请执行以下命令持久化 iptables 规则：

      RHEL/CentOS

      sudo yum install -y iptables-services
      sudo service iptables save

      Debian/Ubuntu

      sudo apt-get install -y iptables-persistent
      sudo iptables-save | sudo tee /etc/iptables/rules.v4 >/dev/null

3. 在 Tengine 配置文件目录中创建证书存放目录。

   cd /usr/local/tengine/conf #步骤二中指定的Tengine安装目录，请您可以根据实际配置调整。
   mkdir cert #创建证书目录，命名为cert。

4. 将证书相关文件上传到 cert 目录（示例中为 /usr/local/tengine/conf/cert）。

   说明

   您可以使用远程登录工具的本地文件上传功能来上传文件。例如PuTTY、Xshell或WinSCP等工具。如果您使用的是阿里云云服务器 ECS，关于上传文件的具体操作，请参见上传或下载文件。

5. 通过包管理器安装编译所需的基础工具包：

   RHEL/CentOS 系列

   sudo yum -y install wget 
   sudo yum -y install gcc gcc-c++
   sudo yum -y install make
   sudo yum -y install pcre pcre-devel
   sudo yum -y install gzip
   sudo yum -y install zlib-devel

   Debian/Ubuntu 系列

   sudo apt update
   sudo apt install -y wget
   sudo apt install -y gcc g++
   sudo apt install -y make
   sudo apt install -y libpcre3 libpcre3-dev
   sudo apt install -y gzip
   sudo apt install -y zlib1g-dev

6. 下载并解压 Tongsuo 和 Tengine 源代码。

   • 下载 Tongsuo 8.2.1 并解压。

     wget -c https://github.com/BabaSSL/BabaSSL/archive/refs/tags/8.2.1.tar.gz
     tar -zxvf 8.2.1.tar.gz  #解压BabaSSL压缩包

   • 下载 Tengine 2.4.1 并解压。

     wget -c https://tengine.taobao.org/download/tengine-2.4.1.tar.gz
     tar -zxvf tengine-2.4.1.tar.gz

7. 在 Tengine 解压目录下，执行以下命令编译安装 Tengine 并关联 Tongsuo。

   执行前请根据实际情况修改以下参数中的路径：

   • --prefix=/usr/local/tengine：指定 Tengine 安装目录，可按需修改为其他路径。

   • --add-module=modules/ngx_tongsuo_ntls：加载 Tongsuo NTLS 模块。Tengine 2.4.1 之前的版本需替换为 ngx_openssl_ntls。

   • --with-openssl=../Tongsuo-8.2.1：指定 Tongsuo 路径以启用 SM2 支持，需替换为实际的 Tongsuo 安装路径。

   ./configure --prefix=/usr/local/tengine  \
   --add-module=modules/ngx_tongsuo_ntls  \
   --with-openssl=../Tongsuo-8.2.1   \
   --with-openssl-opt="enable-ntls"  \
   --with-http_ssl_module   \
   --with-stream \
   --with-stream_ssl_module \
   --with-stream_sni
   make -j
   make install

8. 编辑 Tengine 配置文件 nginx.conf（示例中位于 /usr/local/tengine/conf），配置证书相关参数。

   server {
       listen 443 ssl;
       server_name aliyundoc.com; #需修改为对应的网站域名
   
       # 启用NTLS。Tengine针对BabaSSL中的NTLS功能进行了适配，本文使用BabaSSL作为Tengine的底层密码库来实现通信加密的能力。
       enable_ntls on;
   
       # 配置国密标准算法签名证书
       ssl_sign_certificate cert/server_sign.pem; #需修改为实际证书文件路径
       ssl_sign_certificate_key cert/server_sign.key; #需修改为实际私钥文件路径
   
       # 配置国密标准算法证书
       ssl_enc_certificate cert/server_enc.pem; #需修改为实际证书文件路径
       ssl_enc_certificate_key cert/server_enc.key; #需修改为实际私钥文件路径
   
       # （可选）配置国际标准算法证书
       ssl_certificate cert/server_rsa.pem; #需修改为实际证书文件路径
       ssl_certificate_key cert/server_rsa.key; #需修改为实际私钥文件路径
   
       ssl_session_cache shared:SSL:1m;
       ssl_session_timeout 5m;
   
       # 配置加密套件# ssl_ciphers HIGH: !aNULL: !MD5;
       ssl_ciphers ECC-SM2-SM4-CBC-SM3:ECC-SM2-SM4-GCM-SM3:ECDHE-SM2-SM4-CBC-SM3:ECDHE-SM2-SM4-GCM-SM3:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA:AES128-GCM-SHA256:AES128-SHA256:AES128-SHA:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:AES256-GCM-SHA384:AES256-SHA256:AES256-SHA:ECDHE-RSA-AES128-SHA256:!aNULL:!eNULL:!RC4:!EXPORT:!DES:!3DES:!MD5:!DSS:!PKS;
       ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
       ssl_prefer_server_ciphers on;
   
       location / {
           root html;
           index index.html index.htm;
       }
   }

9. 重新载入 Tengine 配置文件使配置生效。

   cd /usr/local/tengine/sbin #进入Tengine服务的可执行目录。
   ./nginx -s reload  #重新载入配置文件。

步骤三：验证安装是否成功

后续步骤（可选）

常见问题