文档中心
Nginx鏈嶅姟鍣⊿SL璇佷功瀹夎鍏ㄦ敾鐣ユ墜鎶婃墜鏁欎綘鎵撻€犲畨鍏ㄥ姞瀵嗙綉绔?txt
时间 : 2025-09-27 16:27:04浏览量 : 2
关键词：Nginx服务器SSL证书的安装
一、为什么你的网站必须装SSL证书？
想象一下：你在咖啡馆用公共WiFi登录银行账户，如果网站没有SSL加密，黑客只需一个简单的抓包工具（比如Wireshark），就能像看报纸一样看到你的账号密码。而SSL证书就像给数据穿上了"防弹衣"，所有信息都会变成乱码传输。
真实案例：
2025年某电商平台因未部署SSL，导致百万用户支付信息泄露。攻击者利用中间人攻击（MITM）截取数据，直接造成3000万元损失。
二、准备工作：三样东西缺一不可
1. 服务器环境
- Nginx版本1.15+（老版本可能有漏洞）
- 执行`nginx -v`检查版本
2. 证书文件
- 从CA机构（如Let's Encrypt、DigiCert）获取：
- `domain.crt`（公钥证书）
- `domain.key`（私钥文件）
- 可能有`ca_bundle.crt`（中级CA证书）
3. 443端口开放
```bash
sudo ufw allow 443/tcp
Ubuntu防火墙放行
```
三、最详细安装步骤（含排错技巧）
? 步骤1：上传证书到安全位置
最佳实践是把证书放在非web目录：
```bash
sudo mkdir /etc/nginx/ssl_certs
sudo chmod 700 /etc/nginx/ssl_certs
限制访问权限
```
? 步骤2：修改Nginx配置文件
编辑站点配置文件（通常位于`/etc/nginx/sites-available/your_site`）：
```nginx
server {
listen 443 ssl;
server_name yourdomain.com;
ssl_certificate /etc/nginx/ssl_certs/domain.crt;
ssl_certificate_key /etc/nginx/ssl_certs/domain.key;
强化安全性配置
ssl_protocols TLSv1.2 TLSv1.3;
禁用不安全的TLS1.0/1.1
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
其他常规配置...
}
? 步骤3：测试并重载配置
sudo nginx -t
测试配置语法
sudo systemctl reload nginx
热重载不中断服务
四、必做的5项安全检查
1. 证书链完整性检测
使用SSL Labs测试工具：[https://www.ssllabs.com/ssltest](https://www.ssllabs.com/ssltest)
?常见错误："Chain issues Incomplete"表示缺少中级CA证书
2. HSTS强制HTTPS
在配置中添加：
```nginx
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
3. 禁用弱加密算法
用以下命令检测不安全套件：
nmap --script ssl-enum-ciphers -p 443 yourdomain.com
4. HTTP自动跳转HTTPS
添加301重定向：
server {
listen 80;
server_name yourdomain.com;
return 301 https://$host$request_uri;
}
5. 定期更新证书
Let's Encrypt证书90天过期，建议使用crontab自动续期：
0 */12 * * * certbot renew --quiet --post-hook "systemctl reload nginx"
五、高级技巧：OCSP Stapling加速
传统SSL验证需要浏览器查询CA服务器，OCSP Stapling让Nginx本地缓存验证结果，提速30%以上：
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl_certs/ca_bundle.crt;
resolver 8.8.8.8 valid=300s;
FAQ高频问题解答
?Q1: Chrome显示"不是完全安全"怎么办？
?检查页面内是否混用了HTTP资源（如图片/js/css），用开发者工具看Console报错
?Q2: ERR_SSL_VERSION_OR_CIPHER_MISMATCH错误？
?通常是客户端不支持TLS1.2+，可在Cloudflare等CDN开启兼容模式
?Q3: Nginx报错"SSL: error:0909006C:PEM routines:get_name:no start line"？
?用`cat certificate.crt`检查文件内容，可能是--BEGIN CERTIFICATE--格式不对
TAG:nginx服务器ssl证书的安装,nginx的ssl证书格式,nginx ssl_ciphers,nginx 安装证书,nginx ssl证书,nginx ssl安装
