博客站

在 Nginx 中配置 HTTPS 可以加密客户端与服务器之间的通信，提升安全性并满足现代浏览器的安全要求。以下是详细的配置步骤和优化建议：

1. 获取 SSL/TLS 证书

(1) 证书类型选择

• 免费证书：
  • Let's Encrypt（推荐，支持自动化续签）
  • Cloudflare Origin CA（需使用 Cloudflare CDN）
• 付费证书：
  • DigiCert、GeoTrust 等（适合企业级需求）

(2) 使用 Let's Encrypt 获取证书

# 安装 certbot 工具
sudo apt install certbot python3-certbot-nginx  # Ubuntu/Debian
sudo yum install certbot python3-certbot-nginx  # CentOS/RHEL

# 获取证书（自动修改 Nginx 配置）
sudo certbot --nginx -d example.com -d www.example.com

# 仅获取证书（不修改配置）
sudo certbot certonly --nginx -d example.com

• 证书路径：/etc/letsencrypt/live/example.com/
  • fullchain.pem：证书链 + 中间证书
  • privkey.pem：私钥

2. 基础 HTTPS 配置

(1) 修改 Nginx 配置

server {
    listen 443 ssl http2;          # 启用 HTTP/2
    server_name example.com;

    # 证书路径
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # SSL 协议配置
    ssl_protocols TLSv1.2 TLSv1.3;  # 禁用不安全的 TLSv1.0/1.1
    ssl_prefer_server_ciphers on;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';

    # 会话缓存优化
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;

    # 静态资源优化
    location / {
        root /var/www/html;
        index index.html;
    }
}

# HTTP 强制跳转 HTTPS
server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

3. 高级安全优化

(1) 启用 OCSP Stapling

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 8.8.8.8 1.1.1.1 valid=300s;

作用：减少客户端验证证书时的延迟。

(2) 配置 HSTS（强制 HTTPS）

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

注意：

• max-age 设置为 2 年（秒数）。
• 首次启用前需确认 HTTPS 完全正常工作，否则可能导致用户无法访问。

(3) 禁用不安全的加密套件

ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
ssl_ecdh_curve secp384r1;  # 启用更强的椭圆曲线

4. 性能优化

(1) 会话复用（Session Resumption）

ssl_session_tickets on;
ssl_session_ticket_key /etc/nginx/ssl/ticket.key;  # 需提前生成

生成密钥：

openssl rand 80 > /etc/nginx/ssl/ticket.key
chmod 600 /etc/nginx/ssl/ticket.key

(2) 启用 TLS 1.3 0-RTT（谨慎使用）

ssl_early_data on;

风险：可能导致重放攻击，仅对非敏感操作启用。

5. 完整配置示例

http {
    # 全局 SSL 优化
    ssl_dhparam /etc/nginx/ssl/dhparam.pem;  # 需提前生成：openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048
    ssl_buffer_size 4k;

    server {
        listen 443 ssl http2;
        server_name example.com;

        # 证书配置
        ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

        # 安全协议与套件
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers 'TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:ECDHE-ECDSA-AES128-GCM-SHA256';
        ssl_prefer_server_ciphers on;

        # 性能优化
        ssl_session_cache shared:SSL:10m;
        ssl_session_timeout 1d;
        ssl_session_tickets on;

        # 安全头
        add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
        add_header X-Frame-Options DENY;
        add_header X-Content-Type-Options nosniff;

        # 静态文件
        root /var/www/html;
        index index.html;

        # 禁止访问敏感文件
        location ~ /.(env|git) {
            deny all;
            return 404;
        }
    }

    # HTTP 跳转
    server {
        listen 80;
        server_name example.com;
        return 301 https://$host$request_uri;
    }
}

6. 验证与测试

(1) 检查 SSL 配置

# 测试配置文件
sudo nginx -t

# 检查 SSL 评分（使用 Qualys SSL Labs）
https://www.ssllabs.com/ssltest/analyze.html?d=example.com

目标：评级 A+。

(2) 自动续签证书（Let's Encrypt）

# 手动测试续签
sudo certbot renew --dry-run

# 添加定时任务（每月自动续签）
echo "0 3 1 * * certbot renew --quiet" | sudo tee -a /etc/crontab

常见问题

1. 证书过期

   • 错误：SSL: error:0A000086:SSL routines::certificate verify failed
   • 解决：运行 sudo certbot renew。

2. 混合内容警告

   • 确保网页内所有资源（CSS/JS/图片）使用 https:// 加载。

3. TLS 1.3 不生效

   • 确认 OpenSSL 版本 ≥ 1.1.1：openssl version。

通过以上配置，你的 Nginx 将具备高安全性的 HTTPS 支持，同时兼顾性能优化。对于高流量站点，可进一步启用 Brotli 压缩 和 HTTP/3（QUIC）（需 Nginx ≥ 1.25.0）。