Nginx配置ssl证书

Nginx 配置 SSL 证书

一、准备工作

在开始配置前，请确认您已具备以下条件：

• 已获取有效的 SSL 证书，通常包括证书文件（如 `example.com.crt`）和私钥文件（如 `example.com.key`）。
• 证书与私钥已上传至服务器，建议统一存放于 `/etc/nginx/ssl/` 目录，并确保权限为 `600`（仅 root 可读写）。
• 服务器已开放 443 端口，且域名已正确解析到本机 IP。

二、配置步骤

#### 1. 备份原始配置 操作前请务必备份，便于快速回滚： bash cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak cp /etc/nginx/conf.d/default.conf /etc/nginx/conf.d/default.conf.bak #### 2. 创建 SSL 配置段 在 Nginx 配置中（推荐使用 `/etc/nginx/conf.d/ssl.conf`），添加以下服务块： nginx server { listen 443 ssl; server_name example.com; # 替换为您的域名 ssl_certificate /etc/nginx/ssl/example.com.crt; ssl_certificate_key /etc/nginx/ssl/example.com.key;

推荐启用安全协议与加密套件

ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384'; ssl_prefer_server_ciphers on;

启用 OCSP Stapling（可选）

ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s;

其他常规配置

root /usr/share/nginx/html; index index.html; location / { try_files $uri $uri/ =404; } } #### 3. 配置 HTTP 强制跳转 HTTPS 为提升安全性，建议将 HTTP 请求全部转发至 HTTPS： nginx server { listen 80; server_name example.com; return 301 https://$host$request_uri; }

三、验证与重载

完成配置后，务必执行以下命令验证配置语法是否正确： bash nginx -t 若输出 `syntax is ok` 且 `test is successful`，则重载 Nginx 使配置生效： bash nginx -s reload

四、备选方案

若您的证书是通配符或包含中间证书链，可将证书文件与根证书合并后使用。例如，将 `example.com.crt` 与中间证书合并为一个文件： bash cat example.com.crt intermediate.crt > combined.crt 然后在配置中将 `ssl_certificate` 指向合并后的文件即可。

五、注意事项与常见问题

• 证书路径权限：请确保私钥文件仅对 root 可读：`chmod 600 /etc/nginx/ssl/example.com.key`。
• 证书有效期：建议设置定时任务检查证书到期时间，避免证书过期导致服务不可用。
• 回滚方式：若配置失败或出现异常，使用备份文件恢复后重载：

bash cp /etc/nginx/conf.d/ssl.conf.bak /etc/nginx/conf.d/ssl.conf nginx -t && nginx -s reload

• 验证 HTTPS 是否生效：使用浏览器访问 `https://example.com`，点击地址栏锁标记查看证书详情；或在服务器执行 `curl -I https://example.com`，观察返回的 `HTTP/2 200` 及证书信息。
• 安全提示：请勿在配置或日志中暴露私钥内容。若使用第三方签发证书，请严格遵循 CA 提供的证书链顺序。建议启用自动续期工具（如 certbot）时，确保其生成的配置与手动配置兼容。

通过以上步骤，您即可完成 Nginx 的 SSL 证书部署。如有进一步需求，随时告诉我。