背景
Nginx自身支援标準的SSL協定，但并不支援國密SSL協定。
本文描述了Nginx配置的國密SSL協定（單向）的完整過程，僅供學習和參考之用。
特點：Nginx 無需改動源碼、支援任意版本。
環境
伺服器OS是CentOS7.7的64位版本，IP位192.168.0.98，用戶端OS是WindowsXP。
Nginx是Nginx-1.18.0。
浏覽器是360安全浏覽器（支援國密）。 安裝方法一：源碼編譯
GMSSL.cn提供一個OpenSSL的國密版庫，可與nginx編譯，生成的nginx即支援國密SSL協定。
1）準備gmssl_openssl
下載下傳頁面
https://www.gmssl.cn/gmssl/index.jsp?go=nginxdown下載下傳其中的gmssl_openssl_1.1_b1.tar.gz
拷貝到/root/目錄
解壓
tar xzfm gmssl_openssl_1.1_bxx.tar.gz -C /usr/local 則/usr/local/gmssl為國密版openssl目錄
2）準備nginx
http://nginx.org/download/nginx-1.18.0.tar.gztar xzfm nginx-1.18.0.tar.gz 則/root/nginx-1.18.0為nginx目錄
cd /root/nginx-1.18.0
vi auto/lib/openssl/conf，将全部$OPENSSL/.openssl/修改為$OPENSSL/并儲存
3）編譯
./configure \
--without-http_gzip_module \
--with-http_ssl_module \
--with-http_stub_status_module \
--with-http_v2_module \
--with-file-aio \
--with-openssl="/usr/local/gmssl" \
--with-cc-opt="-I/usr/local/gmssl/include" \
--with-ld-opt="-lm"
make install
則/usr/local/nginx為生成的國密版nginx目錄
注：可能需要安裝需要的pcre-devel包。
安裝方法二：直接安裝
GMSSL.cn已經提供了一個按方法一編譯好的國密版nginx，可以直接下載下傳安裝使用。
下載下傳頁面https://www.gmssl.cn/gmssl/index.jsp?go=nginxdown
下載下傳其中的gmssl_nginx_1.8.0_b7.tar.gz tar zxfm gmssl_nginx_1.8.0_bxxx.tar.gz -C /usr/local **則/usr/local/nginx為國密版nginx目錄
國密雙證書
1）生成國密雙證書
通路
https://www.gmssl.cn/gmssl/index.jsp?go=ca可生成免費的測試國密雙證書。
送出後儲存sm2.demo1.gmssl.cn.zip
傳到伺服器/root/下解壓
unzip sm2.demo1.gmssl.cn.zip -d /root/sm2.demo1/
Nginx部署國密SSL
1）配置Nginx
vi /usr/local/nginx/conf/nginx.conf
http下加入
server
{
listen 0.0.0.0:443 ssl;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphersECDHE-RSA-AES128-GCM-SHA256:AES128-SHA:DES-CBC3-SHA:ECC-SM4-SM3:ECDHE-SM4-SM3;
ssl_verify_client off;
ssl_certificate/root/sm2.demo1/sm2.demo1.gmssl.cn.sig.crt.pem;
ssl_certificate_key/root/sm2.demo1/sm2.demo1.gmssl.cn.sig.key.pem;
ssl_certificate/root/sm2.demo1/sm2.demo1.gmssl.cn.enc.crt.pem;
ssl_certificate_key/root/sm2.demo1/sm2.demo1.gmssl.cn.enc.key.pem;
location /
{
root html;
index index.html index.htm;
}
}
2）測試
/usr/local/nginx/sbin/nginx-t
OpenSSL(GM version) by www.gmssl.cn.Test Only!!!
OpenSSL(GM version) bywww.gmssl.cn. Test Only!!!
OpenSSL(GM version) bywww.gmssl.cn. Test Only!!!
OpenSSL(GM version) bywww.gmssl.cn. Test Only!!!
nginx: the configuration file/usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file/usr/local/nginx/conf/nginx.conf test is successful
注：Test Only等資訊是國密版OpenSSL輸出的提示資訊，不影響測試和使用。
3）運作
/usr/local/nginx/sbin/nginx
通路驗證
1）下載下傳360安全浏覽器
https://se.360.cn2）開啟國密SSL支援
3）啟用極速模式
https://192.168.0.98，出現錯誤頁面，開啟極速模式
4）通路國密SSL成功
小結
通過使用國密SSL元件，使得Nginx自身不做任何編譯修改，即可比較簡單的支援國密SSL協定，
滿足等保等政策合規，确實是一個簡單可操作的方法。
gmssl.cn提供了全部免費的測試元件,
并且支援雙向國密SSL，支援國密SSL/标準 SSL自适應，也支援Tomcat和Apache，值得推薦和試用。