每个人都可以，
拥有SSL证书

在Linux服务器上部署SSL证书是保障Web服务HTTPS安全通信的核心步骤。本文系统梳理了从证书准备到Web服务器配置的全流程，涵盖Nginx/Apache两种主流方案[@1@][@2@][@3@]。

证书准备与上传

1. 证书获取
   从CA机构获取证书文件，通常包含：

   • .crt/.pem（证书文件）
   • .key（私钥文件）
   • .ca-bundle（中间证书，可选）

2. 安全上传
   将证书文件上传至服务器安全目录（如/etc/ssl/certs/），并设置正确权限：

   sudo chmod 644 /etc/ssl/certs/yourdomain.crt
   sudo chmod 600 /etc/ssl/certs/yourdomain.key

开放443端口

检查端口状态

sudo ss -tlnp | grep ':443'

若无输出，需在防火墙和安全组中开放端口。

配置防火墙

• firewalld（CentOS/RHEL）：

  sudo firewall-cmd --permanent --add-port=443/tcp
  sudo firewall-cmd --reload

• ufw（Ubuntu）：

  sudo ufw allow 443/tcp
  sudo ufw reload

• iptables：

  sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
  sudo iptables-save  # 持久化规则

云服务器安全组

在云平台（如阿里云、腾讯云）的安全组中添加规则：
协议类型：TCP
端口范围：443
授权对象：0.0.0.0/0

Web服务器配置方案

方案1：Nginx配置

1. 检查SSL模块

   nginx -V 2>&1 | grep -o -- '--with-http_ssl_module'

若未安装，需重新编译Nginx并添加--with-http_ssl_module参数[@3@]。

2. 配置虚拟主机
   编辑/etc/nginx/nginx.conf或虚拟主机配置文件，添加以下内容：

   server {
       listen 443 ssl;
       server_name yourdomain.com;
       ssl_certificate /etc/ssl/certs/yourdomain.crt;
       ssl_certificate_key /etc/ssl/certs/yourdomain.key;
       ssl_protocols TLSv1.2 TLSv1.3;
       ssl_ciphers HIGH:!aNULL:!MD5;
       root /var/www/html;
       index index.html;
   }

   # HTTP自动跳转HTTPS
   server {
       listen 80;
       server_name yourdomain.com;
       return 301 https://$host$request_uri;
   }

3. 测试并重载配置

   sudo nginx -t  # 测试语法
   sudo systemctl reload nginx

方案2：Apache配置

1. 启用SSL模块

   sudo a2enmod ssl  # Debian/Ubuntu
   sudo systemctl restart apache2

2. 配置虚拟主机
   编辑/etc/apache2/sites-available/default-ssl.conf（Debian/Ubuntu）或/etc/httpd/conf.d/ssl.conf（CentOS/RHEL）：

   <VirtualHost _default_:443>
       ServerName yourdomain.com
       SSLEngine on
       SSLCertificateFile /etc/ssl/certs/yourdomain.crt
       SSLCertificateKeyFile /etc/ssl/certs/yourdomain.key
       DocumentRoot /var/www/html
   </VirtualHost>

3. 重启服务

   sudo systemctl restart apache2  # Debian/Ubuntu
   sudo systemctl restart httpd    # CentOS/RHEL

验证部署

1. 浏览器测试
   访问https://yourdomain.com，确认地址栏显示安全锁图标。

2. 命令行测试
   使用openssl检查证书详情：

   openssl s_client -connect yourdomain.com:443 -showcerts

3. 在线工具检测
   通过SSL Labs Test分析证书配置。

常见问题处理

1. 证书未生效

   • 检查Nginx/Apache配置文件路径是否正确。
   • 确认防火墙和安全组已开放443端口。

2. 模块缺失错误
   若报错the "ssl" parameter requires ngx_http_ssl_module，需重新编译Nginx并添加SSL模块[@3@]。

3. 自动续期（Let’s Encrypt）
   使用Certbot工具自动化续期：

   sudo certbot renew --dry-run  # 测试
   sudo certbot renew            # 实际执行