在网络安全需求日益增长的背景下，为Web服务配置SSL证书已成为基础安全要求。本文将系统讲解Nginx服务器配置SSL证书的全流程，涵盖证书获取、配置优化及验证测试等关键环节。

证书获取与准备

商业证书获取

从CA机构获取的证书通常包含以下文件：

• certificate.crt：服务器证书文件
• private.key：私钥文件

自签名证书生成（测试环境）

使用OpenSSL工具生成自签名证书：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
-keyout server.key -out server.crt

该命令会生成有效期365天的RSA2048位证书，执行时需填写证书信息。

Nginx核心配置

基础HTTPS配置

编辑Nginx配置文件（如/etc/nginx/nginx.conf），在server块中添加： ```nginx filename="/etc/nginx/nginx.conf" server { listen 443 ssl; server_name example.com;

ssl_certificate /path/to/certificate.crt;
ssl_certificate_key /path/to/private.key;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;

location / {
    root /var/www/html;
    index index.html;
}

}

关键参数说明：
| 参数                | 作用                          |
|---------------------|-----------------------------|
| `ssl_certificate`   | 指定证书文件路径          |
| `ssl_protocols`     | 限制TLS版本（推荐TLSv1.2+）   |
| `ssl_ciphers`       | 定义加密算法套件          |

### HTTP自动重定向
强制HTTP请求跳转HTTPS：

nginx filename="/etc/nginx/nginx.conf" server { listen 80; servername example.com; return 301 https://$host$requesturi; }

## 配置验证与生效

### 语法检查
执行以下命令验证配置正确性：

bash sudo nginx -t

输出应显示`syntax is ok`和`test is successful`。

### 服务重载
无错误时执行重载命令：

bash sudo systemctl reload nginx

或

sudo nginx -s reload

## 验证测试方法

### 浏览器验证
访问`https://example.com`，确认地址栏显示安全锁标识。

### 命令行测试
使用cURL检查响应头：

bash curl -I https://example.com

或使用OpenSSL验证证书链：

bash openssl s_client -connect example.com:443 -showcerts

## 常见问题处理

1. **证书路径错误**：
   - 确认路径是否存在
   - 检查Nginx用户是否有读取权限

2. **协议版本过时**：
   更新`ssl_protocols`为：

nginx ssl_protocols TLSv1.2 TLSv1.3; ```

3. 端口冲突： 使用netstat -tulnp | grep 443检查端口占用情况。