Debian Nginx SSL配置中的最佳实践有哪些

Debian 上 Nginx SSL 配置的最佳实践

一 证书与获取

• 优先使用 Let’s Encrypt 免费证书，通过 Certbot 自动申请与部署，减少人工错误与运维负担。
• 常用获取方式：
  • 单域名：sudo certbot --nginx -d example.com
  • 多域名：sudo certbot --nginx -d example.com -d www.example.com
  • 泛域名（DNS 验证）：sudo certbot certonly --manual --preferred-challenges dns -d *.example.com
• 自动续期：
  • 测试：sudo certbot renew --dry-run
  • 生产：在 crontab 加入“0 3 * * * /usr/bin/certbot renew --quiet”，每日检查并在需要时续期。
• 证书路径通常为：/etc/letsencrypt/live/example.com/{fullchain.pem, privkey.pem}。以上做法能在 Debian 上以最小成本实现可信、自动续期的 HTTPS。

二 基础安全与协议配置

• 强制 HTTPS：将 HTTP/80 统一 301 到 HTTPS/443，避免明文传输与降级攻击。
• 协议与套件：仅启用 TLSv1.2/TLSv1.3；使用以 ECDHE 为核心的 AEAD 套件，确保 Forward Secrecy（前向保密）。
• 示例（精简版）：
  • listen 443 ssl http2;
  • ssl_protocols TLSv1.2 TLSv1.3;
  • ssl_ciphers ‘ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384’;
  • ssl_prefer_server_ciphers on;
• 禁用不安全协议与算法：SSLv2/SSLv3/TLS1.0/TLS1.1、RC4、DES、EXPORT 等。
• 隐藏版本信息：server_tokens off;
• 安全响应头：
  • Strict-Transport-Security: “max-age=63072000; includeSubDomains; preload” always;
  • X-Frame-Options: DENY; X-Content-Type-Options: nosniff; X-XSS-Protection: “1; mode=block”。

三 性能优化与会话恢复

• 启用 HTTP/2 提升多路复用与头部压缩性能：listen 443 ssl http2。
• 会话缓存与会话票据：
  • ssl_session_cache shared:SSL:10m; ssl_session_timeout 1d;
  • 在支持的客户端与场景下可开启 ssl_session_tickets on；若需更强隐私可关闭。
• OCSP Stapling 减少证书验证往返：
  • ssl_stapling on; ssl_stapling_verify on;
  • 配置可用解析器（如 8.8.8.8 8.8.4.4），并设置缓存有效期（如 valid=300s）；
  • 指定信任链：ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem。

四 部署与运维要点

• 防火墙与安全组放行 TCP 443，确保外网可建立 TLS 连接。
• 证书与密钥文件权限最小化：私钥建议 600，证书 644；放置在受限目录（如 /etc/letsencrypt/），由 root 管理。
• 配置语法检查与热重载：sudo nginx -t && sudo systemctl reload nginx。
• 避免 conflicting server name 警告：合并相同端口的 server 块，或对不同 server_name 明确 301 跳转策略。
• 监控与告警：保留并轮转 access.log/error.log，对证书到期、握手失败率、5xx 比例设置告警。

五 安全加固与验证

• 连接与访问控制：对敏感路径（如 /admin）使用 allow/deny 做 IP 白名单；结合 limit_conn_zone/limit_conn 缓解 DoS。
• 内容安全策略：按需配置 Content-Security-Policy、Referrer-Policy 等安全头，降低 XSS、点击劫持与信息泄露风险。
• 合规参考：满足 PCI DSS 与 Apple ATS 要求（如仅 TLS1.2+、ECDHE、SHA-256 签名、2048 位 RSA/256 位 ECC 等）。
• 在线检测与回归：使用 Qualys SSL Labs 测试评分；定期回归测试（协议、套件、OCSP、HSTS、HTTP/2、0-RTT 谨慎启用）。