HTTPS演示

演示如何在Rust中构建https网站。

为什么这个演示？

完成我的第一个https网站花费了大量的时间；因此，记录下这些学习经验！。

希望，它也能帮助其他人！。

学习经验

学会了使用

• 代码中的TLS。
• 来自Let's Encrypt的TLS证书。
• 在多个https Web服务器上使用nginx作为反向代理。

制作安全网站的步骤

步骤1：启用TLS支持

• 未加密的代码看起来像

    let ip_addr = CONFIG.ip_address.as_ref().unwrap();  
    let socket_addr: SocketAddr = ip_addr.as_str().parse().unwrap();  
    warp::serve(routes)  
        .run(socket_addr)  
        .await;  

• 添加了TLS代码。

    let ip_addr = CONFIG.ip_address.as_ref().unwrap();  
    let cert_path = CONFIG.cert_path.as_ref().unwrap();  
    let key_path = CONFIG.key_path.as_ref().unwrap();  
    let socket_addr: SocketAddr = ip_addr.as_str().parse().unwrap();  
    warp::serve(routes)  
        .tls()  
        .cert_path(cert_path)  
        .key_path(key_path)  
        .run(socket_addr)  
        .await;  

• 为了本地测试，使用了warp框架示例中找到的样本证书。

• 在开发机上运行服务器。

• 使用url: https​://127.0.0.1:3010 在浏览器中测试。

• 确保它正在运行。

步骤2：在托管机上获取TLS证书

• 在托管机（以我的DigitalOcean为例），
  a) 确保 certbot 已安装。
  b) 确保80或443端口可用；这些端口未被其他程序（如Web服务器、nginx或apache）使用。
  c) UFW（简单防火墙）已禁用（ $ sudo ufw disable ）。
  d) 删除了用于将端口转发到一些http网站的iptables条目。

• 成功运行了以下命令。
  $sudo certbot certonly --standalone -dexample.com

• 为多个域名再次尝试。
  $sudo certbot certonly --standalone -dexample.com -dwww.example.com OR $ sudo certbot certonly --standalone -dexample.com,www.example.com

• 在获取证书后尝试添加更多域名。
  $sudo certbot certonly --展开 -dexample.com,www.example.com,new1.example.com,new2.example.com
  它显示了两个选项

  1. 启动临时Web服务器（standalone）
  2. 将文件放在webroot目录中（webroot）
     选择合适的数字[1-2]然后[enter]（按'c'取消）：1 <-- 选择选项1。

• 成功后，显示了“恭喜！”消息和证书存储的位置。

• 证书存储在/etc/letsencrypt/live/example.com/。

• 使用以下命令检查添加的证书。
  $sudo certbot certificates

• 它显示了证书名称、域名、证书路径、私钥路径。

• 出于历史原因，包含证书的目录以0700权限创建，这意味着证书只能由以root用户运行的服务器访问。

• 使用以下命令修复问题： $ sudo chmod 0755 /etc/letsencrypt/{live,archive}。

• 还需要使用 chgrp 和 chmod 0640 来允许服务器读取 /etc/letsencrypt/live/$domain/privkey.pem。请注意，实际的证书和私钥存储在存档文件夹中；实时文件夹只包含指向这些文件的链接。因此，在存档文件夹上应用了 chmod 和 chgrp 命令。