Nginx如何配置SSL证书实现Https访问

发布时间：2022-04-29 13:57:35 作者：iii
来源：亿速云阅读：372

# Nginx如何配置SSL证书实现Https访问

## 前言

在当今互联网环境中，网站安全性已成为不可忽视的重要议题。HTTPS协议通过SSL/TLS加密技术，有效保护用户数据在传输过程中的安全性，防止中间人攻击、数据篡改和隐私泄露。作为主流Web服务器之一，Nginx配置SSL证书实现HTTPS访问已成为运维人员的必备技能。本文将详细介绍从证书申请到Nginx配置的全流程，并深入解析相关技术原理。

## 一、SSL证书基础概念

### 1.1 什么是SSL证书

SSL（Secure Sockets Layer）证书是一种数字证书，用于在服务器和客户端之间建立加密链接。它通过非对称加密技术实现：
- 包含公钥和私钥对
- 由受信任的证书颁发机构（CA）签发
- 验证服务器身份的真实性

现代实际使用的是TLS（Transport Layer Security）协议，但习惯上仍称为SSL证书。

### 1.2 证书类型对比

| 类型         | 验证等级   | 颁发周期 | 适用场景              |
|--------------|------------|----------|-----------------------|
| DV证书       | 域名验证   | 10-30分钟| 个人网站、测试环境    |
| OV证书       | 组织验证   | 3-5天    | 企业官网              |
| EV证书       | 扩展验证   | 5-7天    | 金融、电商等高安全需求|

### 1.3 证书文件格式

- **PEM格式**：Base64编码的文本文件，常见扩展名`.pem`, `.crt`, `.cer`
- **KEY格式**：私钥文件，通常为`.key`扩展名
- **PFX/P12格式**：二进制格式的证书包，包含公私钥

## 二、证书获取方式

### 2.1 商业CA购买

推荐权威CA机构：
1. DigiCert
2. GlobalSign
3. Sectigo
4. 国内：CFCA、数安时代

### 2.2 免费证书申请

#### Let's Encrypt申请示例（Certbot工具）：
```bash
# 安装Certbot
sudo apt install certbot python3-certbot-nginx

# 获取证书（需提前配置好DNS解析）
sudo certbot --nginx -d example.com -d www.example.com

# 自动续期测试
sudo certbot renew --dry-run

2.3 自签名证书生成

测试环境可使用OpenSSL生成：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/private/selfsigned.key \
-out /etc/ssl/certs/selfsigned.crt

需填写证书信息： - Country Name (2 letter code) - State or Province Name - Locality Name - Organization Name - Common Name (必须与域名匹配)

三、Nginx配置详解

3.1 基础HTTPS配置

修改Nginx配置文件（通常位于/etc/nginx/sites-available/default）：

server {
    listen 443 ssl;
    server_name example.com www.example.com;
    
    ssl_certificate /path/to/your/certificate.crt;
    ssl_certificate_key /path/to/your/private.key;
    
    # 安全增强配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers "ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256";
    
    location / {
        root /var/www/html;
        index index.html;
    }
}

3.2 高级安全配置

OCSP Stapling配置：

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/ca_bundle.crt;
resolver 8.8.8.8 8.8.4.4 valid=300s;

HSTS头部增强：

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

双向SSL认证配置：

ssl_client_certificate /path/to/ca.crt;
ssl_verify_client on;

3.3 HTTP重定向HTTPS

推荐配置（301永久重定向）：

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

四、配置优化与调试

4.1 性能优化建议

会话复用：

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

TLS1.3优先：
```
ssl_protocols TLSv1.3 TLSv1.2;
```

密钥更新周期：

openssl dhparam -out /etc/nginx/dhparam.pem 2048

然后在配置中添加：

ssl_dhparam /etc/nginx/dhparam.pem;

4.2 常见问题排查

证书链不完整：

openssl s_client -connect example.com:443 -showcerts

协议/算法检测：

nginx -t  # 测试配置
ssllabs.com/ssltest  # 在线检测

错误日志查看：
```
tail -f /var/log/nginx/error.log
```

五、最佳实践方案

5.1 多域名配置方案

SNI（Server Name Indication）支持：

server {
    listen 443 ssl;
    server_name site1.com;
    ssl_certificate /path/to/site1.crt;
    # ...
}

server {
    listen 443 ssl;
    server_name site2.com;
    ssl_certificate /path/to/site2.crt;
    # ...
}

5.2 证书自动续期

使用crontab设置自动任务：

0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

5.3 负载均衡场景配置

upstream backend {
    server 10.0.0.1:443;
    server 10.0.0.2:443;
}

server {
    listen 443 ssl;
    ssl_certificate /path/to/cert.pem;
    
    location / {
        proxy_pass https://backend;
        proxy_ssl_verify on;
    }
}

六、附录

6.1 常用命令速查

命令	用途
`nginx -t`	测试配置文件语法
`systemctl reload nginx`	平滑重载配置
`openssl x509 -in cert.crt -text -noout`	查看证书详情

6.2 推荐安全配置

Mozilla SSL配置生成器推荐的中级配置：

ssl_session_timeout 1d;
ssl_session_cache shared:MozSSL:10m;
ssl_dhparam /etc/nginx/dhparam.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;

6.3 相关资源推荐

结语

通过本文的详细指导，您应该已经掌握了在Nginx上配置SSL证书实现HTTPS访问的完整流程。从证书选择到安全配置，再到性能优化，每个环节都关系到网站的安全性和用户体验。建议定期检查证书有效期和安全配置，保持与最新安全标准的同步。

注意：生产环境配置前请务必进行充分测试，不同Nginx版本可能存在配置差异，具体请参考官方文档。 “`

这篇文章包含了约2800字的内容，采用Markdown格式编写，包含： 1. 完整的SSL证书配置流程 2. 详细的Nginx配置示例 3. 安全优化建议 4. 常见问题解决方案 5. 实用命令和资源推荐 6. 多级标题结构 7. 代码块和表格等格式化元素

可根据实际需求调整具体配置参数和证书路径。