nginx中如何配置ssl证书

发布时间：2021-07-13 11:05:58 作者：Leah
来源：亿速云阅读：244

Nginx中如何配置SSL证书

在现代Web开发中，确保数据传输的安全性至关重要。SSL（Secure Sockets Layer）证书是实现这一目标的关键工具之一。通过配置SSL证书，您可以将HTTP协议升级为HTTPS，从而加密客户端与服务器之间的通信，防止数据被窃取或篡改。本文将详细介绍如何在Nginx中配置SSL证书。

1. 准备工作

在开始配置之前，您需要准备以下内容：

SSL证书：您可以从受信任的证书颁发机构（CA）购买SSL证书，或者使用免费的证书颁发机构（如Let’s Encrypt）获取证书。通常，您会获得以下文件：
- certificate.crt：服务器证书文件。
- private.key：私钥文件。
- ca_bundle.crt：中间证书文件（可选，某些CA会提供）。
Nginx服务器：确保您已经安装并运行了Nginx服务器。如果尚未安装，可以通过以下命令安装：

   sudo apt update
   sudo apt install nginx

域名：您需要拥有一个域名，并且已经将其解析到您的服务器IP地址。

2. 上传SSL证书文件

将SSL证书文件上传到服务器。通常，这些文件会存放在/etc/nginx/ssl/目录下。您可以使用scp命令将文件从本地计算机上传到服务器：

scp /path/to/certificate.crt user@your_server_ip:/etc/nginx/ssl/
scp /path/to/private.key user@your_server_ip:/etc/nginx/ssl/
scp /path/to/ca_bundle.crt user@your_server_ip:/etc/nginx/ssl/

3. 配置Nginx以使用SSL证书

接下来，您需要编辑Nginx的配置文件以启用SSL。通常，Nginx的主配置文件位于/etc/nginx/nginx.conf，但更常见的做法是在/etc/nginx/sites-available/目录下创建一个新的配置文件，然后在/etc/nginx/sites-enabled/目录下创建一个符号链接。

3.1 创建新的配置文件

在/etc/nginx/sites-available/目录下创建一个新的配置文件，例如your_domain.conf：

sudo nano /etc/nginx/sites-available/your_domain.conf

在文件中添加以下内容：

server {
    listen 80;
    server_name your_domain.com www.your_domain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name your_domain.com www.your_domain.com;

    ssl_certificate /etc/nginx/ssl/certificate.crt;
    ssl_certificate_key /etc/nginx/ssl/private.key;

    # 如果提供了中间证书文件，请取消注释以下行
    # ssl_trusted_certificate /etc/nginx/ssl/ca_bundle.crt;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

    location / {
        root /var/www/your_domain;
        index index.html index.htm;
    }
}

3.2 解释配置文件

第一个server块：监听80端口（HTTP），并将所有请求重定向到HTTPS（443端口）。
第二个server块：监听443端口（HTTPS），并配置SSL证书和私钥。
- ssl_certificate：指定服务器证书文件的路径。
- ssl_certificate_key：指定私钥文件的路径。
- ssl_trusted_certificate：如果提供了中间证书文件，可以取消注释此行。
- ssl_protocols：指定支持的SSL/TLS协议版本。
- ssl_ciphers：指定支持的加密套件。
- ssl_prefer_server_ciphers：优先使用服务器端的加密套件。

3.3 启用配置文件

创建符号链接以启用新的配置文件：

sudo ln -s /etc/nginx/sites-available/your_domain.conf /etc/nginx/sites-enabled/

3.4 测试Nginx配置

在重新加载Nginx之前，建议先测试配置文件是否正确：

sudo nginx -t

如果配置正确，您将看到以下输出：

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

3.5 重新加载Nginx

如果测试通过，重新加载Nginx以应用新的配置：

sudo systemctl reload nginx

4. 验证SSL配置

完成配置后，您可以通过以下方式验证SSL证书是否正确安装：

浏览器访问：在浏览器中访问https://your_domain.com，检查是否显示安全锁标志，并且证书信息正确。
SSL Labs测试：使用SSL Labs的SSL测试工具，输入您的域名，查看详细的SSL配置报告。

5. 自动续期SSL证书（可选）

如果您使用的是Let’s Encrypt等免费证书颁发机构，证书通常只有90天的有效期。为了确保证书不会过期，您可以设置自动续期。

5.1 安装Certbot

Certbot是一个自动化工具，可以帮助您获取和续期Let’s Encrypt证书。安装Certbot：

sudo apt install certbot python3-certbot-nginx

5.2 获取SSL证书

使用Certbot获取SSL证书：

sudo certbot --nginx -d your_domain.com -d www.your_domain.com

Certbot会自动配置Nginx并获取证书。

5.3 设置自动续期

Certbot会自动创建一个cron任务来续期证书。您可以通过以下命令手动测试续期：

sudo certbot renew --dry-run

如果测试成功，Certbot将在证书到期前自动续期。

6. 总结

通过以上步骤，您已经成功在Nginx中配置了SSL证书，并将HTTP升级为HTTPS。这不仅提高了网站的安全性，还有助于提升搜索引擎排名和用户信任度。如果您使用的是Let’s Encrypt等免费证书，记得设置自动续期，以避免证书过期导致的服务中断。

希望本文对您在Nginx中配置SSL证书有所帮助。如果您有任何问题或建议，欢迎在评论区留言讨论。