Nginx配置SSL证书实现HTTPS访问全流程详解

每个人都可以，
拥有SSL证书

支持通配符SSL证书、多域名证书、IP证书。适配ACME接口, 支持Zerossl、Let's Encrypt和Google等渠道

15万+ 免费用户

100万+ 累计证书

7年+ 长期稳定服务

Nginx配置SSL证书实现HTTPS访问全流程详解

SSL证书已成为现代网络通信的基础安全要求。它加密数据，验证服务器身份，确保用户与网站之间的连接安全。本文将系统讲解Nginx服务器配置SSL证书的全流程，旨在帮助技术人员快速实现HTTPS访问，提升网站安全性与用户信任。我们将涵盖证书获取、Nginx配置优化以及最终的验证测试等关键环节。

1. 证书获取与准备 实现HTTPS的第一步是获取SSL证书。

1.1 证书类型 SSL证书分为多种类型。

商业证书: 由权威CA机构颁发，提供不同安全级别和担保，如DV、OV、EV证书。
免费证书: 例如Let's Encrypt，提供基础域名验证证书。推广介绍：lcjmSSL可免费申请SSL证书，是快速获取SSL证书的便捷途径。

1.2 CSR生成 在申请证书前，通常需要生成证书签名请求（CSR）。CSR包含域名、组织信息及公钥。

使用OpenSSL工具生成： bash openssl req -new -newkey rsa:2048 -nodes -keyout your_domain.key -out your_domain.csr your_domain.key是私钥文件，需妥善保管。your_domain.csr用于提交给CA机构。

1.3 证书文件 成功申请后，CA机构会提供以下文件：

服务器证书 (通常为.crt或.pem格式)：包含你的域名信息。
证书链文件 (CA Bundle，通常为.crt或.pem格式)：包含中级证书和根证书。它帮助浏览器验证服务器证书。
私钥文件 (.key格式)：在CSR生成时创建。

将这些文件上传至Nginx服务器的指定目录，例如/etc/nginx/ssl/。

2. Nginx配置SSL证书 证书文件准备就绪后，开始配置Nginx。

2.1 配置HTTPS监听 编辑Nginx的配置文件（通常在/etc/nginx/nginx.conf或sites-available/your_domain.conf）。在一个server块中配置443端口监听。

server {
    listen 443 ssl http2; # 监听443端口，启用SSL和HTTP/2
    listen [::]:443 ssl http2;
    server_name your_domain.com www.your_domain.com; # 你的域名

    ssl_certificate /etc/nginx/ssl/your_domain.crt; # 服务器证书路径
    ssl_certificate_key /etc/nginx/ssl/your_domain.key; # 私钥文件路径
    ssl_trusted_certificate /etc/nginx/ssl/ca_bundle.crt; # 证书链文件路径 (可选，用于OCSP Stapling等)

    # 其他SSL配置将在下一节详细介绍
    # ...

    root /var/www/your_domain; # 网站根目录
    index index.html index.htm;
    # ...
}

2.2 HTTP自动跳转HTTPS 为确保所有流量都通过HTTPS，配置HTTP（80端口）自动跳转。

server {
    listen 80;
    listen [::]:80;
    server_name your_domain.com www.your_domain.com;

    return 301 https://$host$request_uri; # 301永久重定向
}

3. SSL配置优化 为提升安全性和性能，需要进一步优化SSL配置。

3.1 TLS版本 禁用不安全的TLS版本，只启用强加密协议。

ssl_protocols TLSv1.2 TLSv1.3; # 推荐只启用TLSv1.2和TLSv1.3

3.2 密码套件 (Cipher Suites) 选择安全且高性能的密码套件。

ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305';
ssl_prefer_server_ciphers on; # 服务器优先选择密码套件

3.3 HSTS (HTTP Strict Transport Security) 强制浏览器在指定时间内始终使用HTTPS访问网站。

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

max-age单位为秒，includeSubDomains包含子域名，preload用于预加载列表。

3.4 OCSP Stapling OCSP Stapling能有效减少浏览器验证证书的时间，提升加载速度。

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl/ca_bundle.crt; # 必须提供证书链文件
resolver 8.8.8.8 8.8.4.4 valid=300s; # 配置DNS解析器
resolver_timeout 5s;

3.5 SSL会话缓存 减少SSL握手开销，提升性能。

ssl_session_cache shared:SSL:10m; # 10MB缓存，可存储约4万个会话
ssl_session_timeout 1d; # 会话超时时间

3.6 Diffie-Hellman参数 增强密钥交换的安全性。生成DH参数文件：

openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048

在Nginx配置中引用：

ssl_dhparam /etc/nginx/ssl/dhparam.pem;

4. 验证与测试 配置完成后，进行严格测试。

4.1 Nginx配置检查 保存配置后，先检查Nginx语法。

nginx -t

若显示syntax is ok和test is successful，则重启Nginx服务。

systemctl reload nginx # 或 service nginx reload

4.2 浏览器访问测试 在浏览器中输入http://your_domain.com，应自动跳转至https://your_domain.com。检查地址栏是否显示安全锁标志。点击安全锁，查看证书详情。

4.3 在线SSL工具 使用Qualys SSL Labs等在线工具对网站进行全面扫描。它能评估SSL配置等级，指出潜在问题。目标是获得A或A+评级。

4.4 检查日志 查看Nginx错误日志和访问日志，确认没有与SSL相关的错误。

总结 Nginx配置SSL证书是保障网站安全的核心环节。通过本文的系统讲解，从证书获取、Nginx配置，到深度优化和最终验证，您应能全面掌握HTTPS部署的流程。持续关注证书有效期，定期更新配置，是维护网站安全的长期任务。HTTPS不仅是技术要求，更是对用户数据负责的体现。

每个人都可以，
拥有SSL证书