ubuntu - 在 ubuntu 服务器上使用 nginx 来自 namecheap 的 ssl 证书问题

Question

我刚刚从 namecheap，positivessl 单次使用域购买了一个 ssl 证书，完成了以下步骤:https://sneeit.com/install-https-ssl-nginx/

我还尝试了同时创建的 website.crt、 key 和 csr，它与我在 namecheap.org 上的域名相匹配，我获得了基于 http 的方法后颁发的 ssl 证书，并尝试了上述方法和其他方法，它显示2个错误，

第一个错误仅与 website.crt (未连接在一起)有关:
SSL_CTX_use_PrivateKey_file("/etc/nginx/ssl/website.key") 失败(SSL:错误:0B080074:x509 证书例程:X509_check_private_key:键值不匹配)

安装连接包后的第二个错误:
PEM_read_bio_X509("/etc/nginx/ssl/concated.crt") 失败(SSL: error:0908F066:PEM routines:get_header_and_data:bad end line)

我的 NGINX 配置是:

server {
        listen 80;
        listen [::]:80;
        server_name website.com;
        server_tokens off;
        return 301 https://website.com$request_uri;
}

server {
        listen 443;
        listen [::]:443;
        ssl on;
        ssl_certificate /etc/nginx/ssl/website.crt;
        ssl_certificate_key     /etc/nginx/ssl/website.key;
        ssl_protocols   TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers     HIGH:!aNULL:!MD5;
        root /var/www/website/web;
        index index.php;
        server_name website.com;
        server_tokens off;
        location / {
                try_files $uri $uri/ =404;
        }
        location ~ \.php$ {
                include snippets/fastcgi-php.conf;
                fastcgi_pass unix:/var/run/php/php7.2-fpm.sock;
        }
}

这不是我的第一个牛仔竞技表演，多次从 anme 便宜地安装了 ssl，并且只使用了 .crt 而不是连接的，但 niether 正在使用 nginx 版本:1.14.0

任何帮助将不胜感激，因为我被卡住了，谷歌搜索对这些错误没有帮助:(

谢谢!

公顷

Answer 1

第一个错误x509 certificate routines:X509_check_private_key:key values mismatch明确告诉您您尝试使用的证书与私钥不匹配。确保使用生成的私钥文件以及您在将激活证书传递给 CA 时使用的 CSR。使用 openssl 检查证书和 key 模数哈希:

openssl x509 -in file.crt -noout -modulus | openssl sha1
openssl rsa -in file.key -noout -modulus | openssl sha1

如果它们匹配，您应该收到相同的值。

至于第二个错误 PEM routines:get_header_and_data:bad end line ，它最有可能是由于连接的crt文件格式损坏引起的。如果你打开文件，那里应该有一条类似的行 -----END CERTIFICATE----------BEGIN CERTIFICATE----- .以这种方式将证书开始标签放在下一行:

-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----

这对你来说可能看起来像是一场牛仔竞技表演，但错误是不言自明的。我建议您检查文件内容，以防您确认 key 模数确实与您的证书匹配。