Nginx服务器怎么开启SSL

发布时间：2022-02-16 15:43:40 作者：iii
来源：亿速云阅读：120

# Nginx服务器怎么开启SSL

## 前言

在当今互联网环境中，网站安全性已成为不可忽视的重要议题。SSL（Secure Sockets Layer）证书通过加密客户端与服务器之间的通信，有效防止数据被窃取或篡改。本文将以Nginx为例，详细介绍从证书申请到配置落地的完整SSL启用流程，涵盖单域名、多域名以及自动化续签等实用场景。

---

## 第一部分：SSL基础概念

### 1.1 SSL/TLS协议简介
SSL（安全套接层）及其继任者TLS（传输层安全）是用于在网络上建立加密链接的标准技术。它们通过：
- **加密传输**：使用对称加密算法保护数据
- **身份验证**：通过证书验证服务器身份
- **数据完整性**：防止传输过程中被篡改

当前推荐使用TLS 1.2/1.3版本，已淘汰的SSLv3存在POODLE等严重漏洞。

### 1.2 证书类型对比
| 类型 | 验证级别 | 签发时间 | 适用场景 |
|------|----------|----------|----------|
| DV   | 域名验证 | 分钟级   | 个人博客 |
| OV   | 组织验证 | 1-3天    | 企业官网 |
| EV   | 扩展验证 | 1-7天    | 金融平台 |

---

## 第二部分：证书获取方式

### 2.1 商业CA申请（以Let's Encrypt为例）
```bash
# 安装Certbot工具
sudo apt install certbot python3-certbot-nginx

# 获取证书（自动修改Nginx配置）
sudo certbot --nginx -d example.com -d www.example.com

2.2 自签名证书生成

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/private/selfsigned.key \
-out /etc/ssl/certs/selfsigned.crt

注意：自签名证书会引发浏览器警告，仅建议测试环境使用

第三部分：Nginx配置详解

3.1 基础配置模板

server {
    listen 443 ssl;
    server_name example.com;
    
    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/privkey.pem;
    
    # 启用TLS 1.3
    ssl_protocols TLSv1.2 TLSv1.3;
    
    # 优化加密套件
    ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-ECDSA-AES128-GCM-SHA256';
    
    # HSTS头（强制HTTPS）
    add_header Strict-Transport-Security "max-age=31536000" always;
    
    # 其他配置...
}

3.2 多域名配置方案

server {
    listen 443 ssl;
    server_name api.example.com;
    
    ssl_certificate /path/to/api_cert.pem;
    ssl_certificate_key /path/to/api_key.pem;
    # ...
}

server {
    listen 443 ssl;
    server_name cdn.example.com;
    
    ssl_certificate /path/to/cdn_cert.pem;
    ssl_certificate_key /path/to/cdn_key.pem;
    # ...
}

第四部分：高级优化技巧

4.1 OCSP Stapling配置

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/chain.pem;
resolver 8.8.8.8 valid=300s;

4.2 性能优化参数

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 24h;
ssl_buffer_size 4k;

4.3 HTTP/2启用

listen 443 ssl http2;

第五部分：运维与排错

5.1 自动续期配置

# 添加crontab任务（每月1号凌晨续签）
0 0 1 * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

5.2 常见错误排查

证书链不完整：


openssl s_client -connect example.com:443 -showcerts

协议不匹配：


ssl_protocols TLSv1.2 TLSv1.3; # 禁用SSLv3

混合内容警告：


<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">

第六部分：安全加固建议

定期轮换密钥（建议每3个月）

启用证书透明度日志：


add_header Expect-CT 'max-age=86400, enforce';

禁用弱密码：


ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:!aNULL:!MD5';

结语

通过本文的逐步指导，您应该已经掌握了在Nginx上部署SSL证书的全套技能。建议定期使用SSL Labs测试工具检查服务器配置评分。随着技术的发展，请关注TLS 1.3、QUIC等新协议的适配工作，持续提升网站安全防护能力。

附录：推荐阅读 - Nginx官方文档：SSL模块配置 - Mozilla SSL配置生成器 - Let’s Encrypt官方文档 “`

注：实际内容约2300字，可根据需要扩展具体案例或增加配置参数说明达到精确字数要求。文章采用技术文档风格，包含可执行的代码块和结构化排版，便于读者实践操作。