如何使用 Nginx 实现安全的 WebSocket 连接？（Nginx WebSocket 安全连接配置指南）

赵其鑫 • 2024年 10月 31日 17:51:20 • 中间件

为了确保 WebSocket 连接的安全性，加密通信通道变得至关重要，尤其是处理敏感数据时。以下是如何使用 Nginx 配置安全的 WebSocket 连接的步骤，包括 HTTPS 和 TLS/SSL 设置，以及一些额外的安全措施。

步骤 1：HTTPS 配置

首先，你需要在 Nginx 中启用 HTTPS，这要求你拥有有效的 SSL/TLS 证书。以下是基本的 HTTPS 配置：

server {
    listen 443 ssl;
    server_name yourdomain.com;

    ssl_certificate /path/to/your/cert.pem;
    ssl_certificate_key /path/to/your/key.pem;

    # 强烈建议的 SSL/TLS 配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    
    ssl_session_cache shared:SSL:1m;
    ssl_session_timeout 5m;
    ssl_stapling on;
    ssl_stapling_verify on;
    
    ssl_dhparam /path/to/dhparam.pem;
    
    ssl_dhparam /path/to/dhp_2048.pem;
    
    # OCSP stapling --- 交由服务器完成OCSP签名，减轻CA服务器的压力
    ssl_stapling on;
    ssl_stapling_verify on;
    
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;
}

这里的重点是：

ssl_certificate 和 ssl_certificate_key: 分别指定你的 SSL 证书和私钥位置。
ssl_protocols 和 ssl_ciphers: 确定允许的 TLS 版本和加密套件，推荐最新和最强的配置。
DH 参数：预计算的 Diffie-Hellman 密钥交换参数可以加速 SSL 握手过程，提高效率。

步骤 2：WebSocket 配置

接下来，针对 WebSocket 的安全连接配置：

location /ws {
    proxy_pass https://your-backend-server;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Scheme $scheme;
    proxy_ssl_server_name on;
    proxy_ssl_session_reuse off;
    proxy_ssl_trusted_certificate /path/to/trusted/ca.crt;
}

要点说明：

https://your-backend-server: 替换为目标后端服务器。
proxy_ssl_*: 确保代理 SSL 设置正确，特别是 proxy_ssl_trusted_certificate 应指向受信任的 CA 证书。

步骤 3：HTTP 重定向到 HTTPS

强制所有 HTTP 请求跳转到 HTTPS:

server {
    listen 80;
    server_name yourdomain.com;
    rewrite ^(.*) https://$host$1 permanent;
}

这样，即使有人试图通过不安全的 HTTP 访问，也会被自动重定向到 HTTPS。

步骤 4：额外的安全设置

防火墙和网络安全组：确保只有必要的端口对外公开，比如只开放 443 端口。
定期审核证书：检查证书的有效期和状态，避免过期或被撤销的情况发生。
日志记录：开启详细的 SSL 日志，以监控潜在的攻击行为。

测试连接

最后，使用 WebSocket 客户端工具测试安全连接，确认握手过程和数据传输都使用了 HTTPS。可以查看网络请求详情，确认是否有 Connection 头部被设置为 upgrade 并且有 Upgrade 字段为 websocket。

通过上述步骤，你可以构建一个安全可靠的 WebSocket 连接，确保数据在客户端和服务端之间的传输过程中得到加密保护。这对于现代实时应用而言，是非常重要的一项安全保障措施。