这里采取的是在StartSSL申请免费证书，使用Nginx + php-cgi(php-fpm)的方式建立HTTPS加密的站点。

首先在StartSSL注册，点左上角图标“Sign-up For Free”，注册的过程要填写比较详细的地址、电话什么的，否则可能被拒，具体注册教程可以Google一下，很多介绍，也很简单。注册过程要验证邮件地址，注册成功之后会自动安装一个StartCom Free Certificate Member的证书，这个就是用来登录的，搞证书的完整登录用证书也算是门当户对。必须用IE浏览器注册，因为要装ActiveX控件。


注册之后，点击Authenticate，再进入Control Panel，  先使用Validations Wizard验证域名，再使用Certificates Wizard创建证书，类型为“Web Server SSL /TLS Certificate”。在接下来的步骤里面，可以在线创建私钥，但我发现在网站上直接输入密码，提交会有一个JavaScript错误，导致无法继续，换了浏览器和机器也是一样。

所以我们可以选择创建私钥的步骤Skip，然后把自己采用自己创建的CSR用用本工具打开，粘贴到下一步“Submit Certificate Request (CSR)”的文本框中；下面用到的openssl是OpenSSL库里面的一个工具。
1）创建一个4096长度的私钥
openssl genrsa -des3 -out server.key 4096

2）创建一个CSR (Certificate Signing Request)
openssl req -new -key server.key -out server.csr
其中challenge password为空

这样就可以得到一个CRT证书文件，将其从页面中粘贴到本地一个文本文件，并改名为CRT后缀即可。今后要可以在Control Panel -> Tool Box ->Retrieve Certificate重新获得。


Nginx配置很简单，最重要的配置红色标识。一些PHP程序可能会使用_SERVER["HTTPS"]参数来判断当前是HTTPS还是HTTP，这个会影响程序生成的一些链接的前缀，如果检测不正确，可能会导致访问HTTPS站点时候，浏览器提示“本页不但包含安全的内容，也包含不安全的内容。是否显示不安全的内容”，而由于是采用反向代理的方式，透过Nginx访问php-cgi，而php-cgi不是以HTTPS方式运行的，所以必须要显示的制定生成参数fastcgi_param HTTPS on; 

server
{
    listen a.b.c.d:443;

    access_log /xxx/ssl.access.log main;
    error_log  /xxx/ssl.error.log;

    root /xxx/;
    index index.php index.html index.htm;

    ssl on;
    ssl_certificate /xxx/server.crt;
    ssl_certificate_key /xxx/server.key;
    ssl_session_timeout 5m;
    ssl_protocols SSLv2 SSLv3 TLSv1;
    ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
    ssl_prefer_server_ciphers on;

    location ~ \.php$ {
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_index index.php;
        fastcgi_param SCRIPT_FILENAME $document_root/$fastcgi_script_name;
        fastcgi_param HTTPS on; 
        include fastcgi_params;
    }

    location ~ /\.ht {
        deny all;
    }

}


启动试一试应该就可以了，但每次启动Nginx的时候都会提示输入私钥密码，这个可以这样解决：
1） 去除密码
openssl rsa -in server.key -out server.nopass.key

2）把Nginx的配置替换为ssl_certificate_key /xxx/server.nopass.key;即可


经过测试，在IE 7.0.5730.11、Chrome 4.1.249.1064版本中使用正常；在Firefox 3.5.3会提示“此连接是不受信任的”，这是因为StartSSL的根证书还没有被FF认可，只是被M$和Google认可，添加个例外就可以继续访问了，加密功能是一样的，不过变得和自己的做的证书一样了。免费的不求太完美，将就用。

作为域名NS记录指向的DNS服务器，不同于开放给公众的DNS服务器，不需要提供本机配置域名之外的域名解析。当DNS解析的域名本机中没有的时候，就会发起递归（recursion）或者转发（forward）到远程DNS去查询。

递归：本机直接从根服务器上寻找对应域名的NS记录，再由本机到NS指向的服务器中查询记录
转发：本机将解析请求转发到指定的服务器去解析，将转发服务器的响应结果直接反馈给查询者

BIND9默认打开递归查询和关闭转发功能，如何彻底关闭递归，就成了主要问题，设置中还发现一些有趣的问题。

测试平台：Debian 5.0.4
BIND9版本：BIND 9.5.1.dfsg.P3-1+lenny1

配置文件：/etc/bind/named.conf.options
1、只设置“recursion no;”
C:\>nslookup
> server 192.168.99.104
> www.google.com
Server: [192.168.99.104]
Address: 192.168.99.104

Name: www.google.com
Served by:
- K.ROOT-SERVERS.NET
- I.ROOT-SERVERS.NET
- L.ROOT-SERVERS.NET
- B.ROOT-SERVERS.NET
- M.ROOT-SERVERS.NET
- G.ROOT-SERVERS.NET
- F.ROOT-SERVERS.NET
- A.ROOT-SERVERS.NET
- J.ROOT-SERVERS.NET
- C.ROOT-SERVERS.NET

服务器虽然没有进行递归查询，但是还是响应了客户端根服务器的地址。如何彻底关闭呢，这个问题折腾了很久，未果。BIND9的文档（http://www.bind9.net/manual/bind/9.3.2/Bv9ARM.ch06.html）中有这样的描述：

recursion
If yes, and a DNS query requests recursion, then the server will attempt to do all the work required to answer the query. If recursion is off and the server does not already know the answer, it will return a referral response. The default is yes. Note that setting recursion no does not prevent clients from getting data from the server's cache; it only prevents new data from being cached as an effect of client queries. Caching may still occur as an effect the server's internal operation, such as NOTIFY address lookups. See also fetch-glue above.

allow-recursion
Specifies which hosts are allowed to make recursive queries through this server. If not specified, the default is to allow recursive queries from all hosts. Note that disallowing recursive queries for a host does not prevent the host from retrieving data that is already in the server's cache.

可问题是，这个cache如何关闭呢？文档里没有详细描述，找了很久，发现个配置allow-query-cache，这个似乎在官方的文档中没有呢？


2、同时设置“recursion no;”和"allow-query-cache { none; };"
C:\>nslookup
> server 192.168.99.104
> www.google.com
Server: [192.168.99.104]
Address: 192.168.99.104

*** [192.168.99.104] can't find www.google.com: Query refused

彻底关闭了递归查询，拒绝响应，达到目的。


3、只设置"allow-recursion { none; };"
测试结果同2

这是在后来改配置的时候偶尔发现的，allow-recursion貌似不需要关闭cache。一直认为allow-recursion和recursion是完全一样的，看来不是这样。当然，这个也许是我的测试有限。


附1：转发BIND9默认是关闭的，如果需要声明可以在named.conf.options这样写
forwarders {};
forward only;

附2：如何关闭BIND9对于ls命令功能，对于有slave或者特殊需要的，用ip替换none即可
allow-transfer { none; };