Nginx Client Zertifikat - Versionsgeschichte

Thomas.will am 12. Juni 2026 um 12:40 Uhr

2026-06-12T12:40:32Z

Thomas.will: /* NGINX-Konfiguration */

2025-03-22T06:40:58Z

NGINX-Konfiguration

Thomas.will: /* NGINX-Konfiguration */

2025-03-22T06:40:48Z

NGINX-Konfiguration

Thomas.will: /* NGINX-Konfiguration */

2025-03-22T06:40:39Z

NGINX-Konfiguration

Thomas.will: Die Seite wurde neu angelegt: „=Absicherung von Webdiensten mit 2FA: Zertifikat + Passwort= ==Voraussetzungen== ;Zertifikate * Eine eigene CA: ca.crt * Ein Server-Zertifikat: server.crt und…“

2025-03-22T06:40:22Z

Die Seite wurde neu angelegt: „=Absicherung von Webdiensten mit 2FA: Zertifikat + Passwort= ==Voraussetzungen== ;Zertifikate * Eine eigene CA: ca.crt * Ein Server-Zertifikat: server.crt und…“

Neue Seite

=Absicherung von Webdiensten mit 2FA: Zertifikat + Passwort=

==Voraussetzungen==
;Zertifikate
* Eine eigene CA: ca.crt
* Ein Server-Zertifikat: server.crt und server.key
* Ein Client-Zertifikat: client.crt und client.key

;Benutzer
* Ein Benutzerkonto für HTTP-Basic-Auth

==Benutzer anlegen==
*htpasswd -c /etc/nginx/.htpasswd xinux

==NGINX-Konfiguration==
server {
listen 443 ssl;
server_name secure.lab.intern;

ssl_certificate /etc/nginx/ssl/server.crt;
ssl_certificate_key /etc/nginx/ssl/server.key;

ssl_client_certificate /etc/nginx/ssl/ca.crt;
ssl_verify_client on;

ssl_protocols TLSv1.2 TLSv1.3;

location / {
auth_basic "Login mit Benutzername und Passwort";
auth_basic_user_file /etc/nginx/.htpasswd;

root /var/www/html;
index index.html;
}
}

==Zertifikat im Firefox einbinden==
;Import
* Firefox → Einstellungen → Datenschutz & Sicherheit → Zertifikate anzeigen
* Reiter "Ihre Zertifikate" → Importieren → client.p12

;Verwendung
* Seite aufrufen: https://secure.lab.intern
* Firefox fragt nach Zertifikat → dann HTTP-Login

==Test==
;Kein Zertifikat
* Fehler 400

;Falsches Passwort
* Fehler 401

;Zertifikat + Passwort korrekt
* Zugriff erlaubt

@@ Zeile 1: / Zeile 1: @@
-=Absicherung von Webdiensten mit 2FA: Zertifikat + Passwort=
+=Absicherung von Webdiensten mit 2FA: Zertifikat + Passwort (Nginx)=
+==Einführung==
-==Voraussetzungen==
+* Zwei Faktoren: Besitz (Client-Zertifikat) und Wissen (Passwort).
-;Zertifikate
+* Der Server prüft das Client-Zertifikat gegen unsere CA (mTLS), danach folgt HTTP-Basic-Auth.
-* Eine eigene CA: ca.crt
+==Ausgangspunkt==
-* Ein Server-Zertifikat: server.crt und server.key
+* Bestehender Nginx-vHost secure.it2XX.int (Debian) mit fertigem Server-Zertifikat
-* Ein Client-Zertifikat: client.crt und client.key
+;Wenn vorhanden
+*rm -v /var/www/secure/.htaccess
-;Benutzer
+*cat /etc/nginx/sites-available/secure.conf
-* Ein Benutzerkonto für HTTP-Basic-Auth
+<pre>
 server {
      listen 443 ssl;
-     server_name secure.lab.intern;
+    listen [::]:443 ssl;
+     server_name secure.it2XX.int;
-     ssl_certificate /etc/nginx/ssl/server.crt;
+    root /var/www/secure;
-     ssl_certificate_key /etc/nginx/ssl/server.key;
+    index index.html;
+     ssl_certificate /etc/ssl/own.crt;
-     ssl_client_certificate /etc/nginx/ssl/ca.crt;
+    ssl_certificate_key /etc/ssl/own.key;
      ssl_verify_client on;
      ssl_protocols TLSv1.2 TLSv1.3;
      location / {
          auth_basic "Login mit Benutzername und Passwort";
          auth_basic_user_file /etc/nginx/.htpasswd;
+         try_files $uri $uri/ =404;
+     }
-−
+}
+</pre>
 ==Zertifikat im Firefox einbinden==
 ;Import
 * Firefox → Einstellungen → Datenschutz & Sicherheit → Zertifikate anzeigen
-* Reiter "Ihre Zertifikate" → Importieren → client.p12
+* Reiter "Ihre Zertifikate" → Importieren → client.p12 (Export-Passwort eingeben)
 ;Verwendung
-* Seite aufrufen: https://secure.lab.intern
+* Seite aufrufen: https://secure.it2XX.int
 * Firefox fragt nach Zertifikat → dann HTTP-Login
 ==Test==
 ;Kein Zertifikat
-* Fehler 400
+* TLS-Handshake-Fehler (curl: alert certificate required, kein HTTP-Fehlercode)
 ;Falsches Passwort
 * Fehler 401
 ;Zertifikat + Passwort korrekt
 * Zugriff erlaubt