如何在Nginx服务器上安装SSL证书

发布时间：2022-03-17 10:55:08 作者：iii
来源：亿速云阅读：276

# 如何在Nginx服务器上安装SSL证书

## 前言

在当今互联网环境中，网站安全性已成为不可忽视的重要议题。SSL（Secure Sockets Layer）证书通过加密客户端与服务器之间的通信，有效防止数据被窃取或篡改。本文将详细介绍如何在Nginx服务器上安装SSL证书，涵盖从证书申请到配置优化的完整流程。

---

## 第一部分：准备工作

### 1.1 确认服务器环境
在开始前，请确保：
- 已拥有服务器root权限或sudo权限
- Nginx已安装并运行（可通过`nginx -v`检查版本）
- 域名已解析到服务器IP（通过`ping yourdomain.com`验证）

### 1.2 选择SSL证书类型
根据需求选择证书类型：
- **DV（域名验证）**：基础验证，适合个人网站
- **OV（组织验证）**：需企业资质，适合商业网站
- **EV（扩展验证）**：最高级别，显示绿色地址栏

推荐证书颁发机构（CA）：
- Let's Encrypt（免费）
- DigiCert
- Sectigo
- GeoTrust

---

## 第二部分：获取SSL证书

### 2.1 使用Let's Encrypt免费证书（推荐）

#### 安装Certbot工具
```bash
# Ubuntu/Debian
sudo apt update
sudo apt install certbot python3-certbot-nginx

# CentOS/RHEL
sudo yum install epel-release
sudo yum install certbot python3-certbot-nginx

申请证书

sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

注意：需暂时关闭防火墙或放行80/443端口

2.2 商业证书申请流程

在CA平台生成CSR（证书签名请求）：


openssl req -new -newkey rsa:2048 -nodes -keyout yourdomain.key -out yourdomain.csr

提交CSR给CA并完成验证
收到证书文件（通常包含.crt和.ca-bundle文件）

第三部分：安装SSL证书

3.1 证书文件准备

将获得的证书文件上传至服务器，建议存放在：

/etc/nginx/ssl/yourdomain/

典型文件结构： - yourdomain.crt（主证书） - yourdomain.key（私钥） - ca-bundle.crt（中间证书，商业证书需要）

3.2 配置Nginx

编辑站点配置文件（通常位于/etc/nginx/sites-available/yourdomain.conf）：

server {
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate /etc/nginx/ssl/yourdomain/yourdomain.crt;
    ssl_certificate_key /etc/nginx/ssl/yourdomain/yourdomain.key;
    
    # 商业证书需添加中间证书
    ssl_trusted_certificate /etc/nginx/ssl/yourdomain/ca-bundle.crt;

    # 启用TLS 1.2/1.3
    ssl_protocols TLSv1.2 TLSv1.3;
    
    # 优化加密套件
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...';
    
    # 其他配置...
}

# HTTP强制跳转HTTPS
server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

3.3 验证配置并重启

sudo nginx -t  # 测试配置
sudo systemctl restart nginx

第四部分：高级配置与优化

4.1 启用OCSP Stapling

提高SSL握手效率：

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;

4.2 配置HSTS

强制浏览器使用HTTPS：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

4.3 会话复用优化

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

第五部分：验证与故障排除

5.1 验证工具

SSL Labs测试

本地验证：


openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

5.2 常见问题解决

证书不信任

确保中间证书已正确拼接
使用cat yourdomain.crt ca-bundle.crt > combined.crt合并证书

私钥不匹配

验证密钥匹配性：

openssl x509 -noout -modulus -in yourdomain.crt | openssl md5
openssl rsa -noout -modulus -in yourdomain.key | openssl md5

两个MD5值必须相同

错误日志查看

tail -f /var/log/nginx/error.log

第六部分：证书续期与管理

6.1 Let’s Encrypt自动续期

# 测试续期
sudo certbot renew --dry-run

# 添加定时任务（每月自动续期）
sudo crontab -e
添加：0 3 1 * * /usr/bin/certbot renew --quiet

6.2 商业证书更新

提前30天申请新证书
替换文件后执行：
```
sudo nginx -s reload
```

结语

通过本文的详细指导，您已成功在Nginx服务器上部署了SSL证书，不仅提升了网站安全性，还能获得更好的SEO排名。建议定期检查证书状态并保持服务器软件更新，以应对不断发展的网络安全威胁。

延伸阅读： - Nginx官方SSL文档 - Mozilla SSL配置生成器 “`

注：本文实际约2000字，可根据需要增减具体配置示例或补充特定环境的操作细节。