Nginx如何开启SSL

发布时间：2022-02-16 15:48:30 作者：iii
来源：亿速云阅读：142

# Nginx如何开启SSL

## 前言

在当今互联网环境中，网站安全性已成为不可忽视的重要议题。SSL/TLS协议通过加密客户端与服务器之间的通信，有效防止数据被窃取或篡改。作为高性能的Web服务器，Nginx配置SSL证书已成为现代网站建设的标准操作。本文将详细介绍从证书申请到Nginx配置的完整流程，涵盖多种场景和进阶配置。

---

## 一、SSL基础概念

### 1.1 SSL/TLS协议简介
SSL（Secure Sockets Layer）及其继任者TLS（Transport Layer Security）是用于在计算机网络中提供加密通信的安全协议。它们通过：
- 对称加密传输数据
- 非对称加密验证身份
- 消息完整性校验
实现以下安全目标：
- 数据保密性
- 数据完整性
- 服务器身份验证

### 1.2 证书类型对比
| 类型       | 验证级别 | 颁发时间 | 适用场景           |
|------------|----------|----------|--------------------|
| DV证书     | 域名验证 | 分钟级   | 个人博客、测试环境 |
| OV证书     | 组织验证 | 1-3天    | 企业官网           |
| EV证书     | 扩展验证 | 1-7天    | 金融、电商平台     |

---

## 二、准备工作

### 2.1 环境要求
- Nginx 1.15.0+（支持TLS 1.3）
- OpenSSL 1.1.1+
- 服务器443端口开放

### 2.2 证书获取方式
#### 2.2.1 商业CA申请（以Let's Encrypt为例）
```bash
# 安装Certbot工具
sudo apt install certbot python3-certbot-nginx

# 获取证书（需提前配置好域名解析）
sudo certbot --nginx -d example.com -d www.example.com

2.2.2 自签名证书生成

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout /etc/ssl/private/selfsigned.key \
-out /etc/ssl/certs/selfsigned.crt

三、Nginx基础配置

3.1 最小化SSL配置

server {
    listen 443 ssl;
    server_name example.com;
    
    ssl_certificate /path/to/certificate.crt;
    ssl_certificate_key /path/to/private.key;
    
    # 安全协议配置
    ssl_protocols TLSv1.2 TLSv1.3;
    
    location / {
        root /var/www/html;
        index index.html;
    }
}

3.2 HTTP强制跳转HTTPS

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

四、进阶安全配置

4.1 加密套件优化

ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305';
ssl_prefer_server_ciphers on;

4.2 OCSP Stapling配置

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/chain.crt;
resolver 8.8.8.8 valid=300s;

4.3 HSTS头部强化

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

五、性能优化技巧

5.1 会话复用配置

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1h;

5.2 TLS 1.3 0-RTT配置

ssl_early_data on;

5.3 多证书SNI支持

server {
    listen 443 ssl;
    server_name site1.com;
    # 证书配置...
}

server {
    listen 443 ssl;
    server_name site2.com;
    # 证书配置...
}

六、常见问题排查

6.1 证书链不完整

症状：浏览器显示”证书不受信任” 解决方案：

cat domain.crt intermediate.crt > chained.crt

6.2 SSL协议不匹配

检测工具：

openssl s_client -connect example.com:443 -tls1_2

6.3 混合内容问题

解决方案： - 使用Content-Security-Policy头 - 替换所有http资源为https

七、证书自动续期

7.1 Certbot自动化

# 测试续期流程
sudo certbot renew --dry-run

# 添加cron任务
0 0 * * * /usr/bin/certbot renew --quiet

7.2 证书更新后重载Nginx

sudo systemctl reload nginx

八、最佳实践建议

证书管理：
- 使用ACME客户端自动管理
- 设置证书到期提醒
安全配置：
- 定期更新加密套件
- 禁用SSLv3及以下协议
性能平衡：
- 根据用户群体选择ECDSA/RSA证书
- 合理设置会话超时时间

结语

通过本文的详细指导，您应该已经掌握了在Nginx上配置SSL证书的全流程。从基础配置到高级优化，良好的SSL实现不仅能提升网站安全性，还能改善SEO排名和用户信任度。建议定期检查SSL Labs的评分（https://www.ssllabs.com/ssltest/），持续优化您的SSL配置。

最后更新：2023年10月
适用版本：Nginx 1.25+ “`

这篇文章包含约2400字，采用Markdown格式编写，包含： 1. 结构化的小节划分 2. 代码块和配置示例 3. 表格对比信息 4. 命令行操作指南 5. 安全建议和最佳实践 6. 问题排查指南可根据需要进一步扩展特定章节的细节内容。