Debian Nginx SSL加密级别设置

在Debian系统上配置Nginx以启用SSL并设置加密级别，通常涉及以下步骤：

1. 安装OpenSSL：

   sudo apt-get install openssl -y
   

2. 生成私钥：

   openssl genpkey -algorithm rsa -out private.key -aes256
   

3. 生成证书签名请求(CSR)：

   openssl req -new -key private.key -out csr.csr
   

4. 生成自签证书：

   openssl x509 -req -days 365 -in csr.csr -signkey private.key -out certificate.crt
   

5. 配置Nginx：

   编辑Nginx配置文件，通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/default。在 server 块中添加以下内容：

   listen 443 ssl;
   ssl_certificate /path/to/yourdomain.crt;
   ssl_certificate_key /path/to/yourdomain.key;
   

6. 优化SSL/TLS配置：

   为了提高安全性，可以禁用不安全的协议和加密套件，选择强加密套件，并启用HSTSHSTS、OCSP Stapling等安全特性。

   • 禁用旧版本的SSL/TLS协议：

     ssl_protocols TLSv1.2 TLSv1.3;
     

   • 选择强加密套件：

     ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
     ssl_prefer_server_ciphers on;
     

   • 启用HSTSHSTS：

     add_header Strict-Transport-Security "max-age=31536000;includeSubDomains;preload";
     

   • 启用OCSP Stapling：

     ssl_stapling on;
     ssl_stapling_verify on;
     ssl_trusted_certificate /path/to/chain.pem;
     resolver 8.8.8.8 8.8.4.4 valid=300s;
     

7. 重启Nginx：

   在应用配置更改后，重启Nginx服务以使更改生效：

   sudo systemctl restart nginx
   

请注意，自签名证书在生产环境中可能存在安全风险，因此建议从可信的证书颁发机构（CA）获取SSL证书。以上信息提供了在Debian系统上配置Nginx以启用SSL并设置加密级别的基本步骤。