首页 建站教程 Nginx 正文

Nginx SSL证书配置：实现HTTPS加密访问

Nginx
开会员与付费前请必须阅读这篇文章，在首页置顶第一篇：（进站必看本站VIP介绍/购买须知）
本站所有源码均为自动秒发货，默认（百度网盘）
前言：在当今互联网环境中，数据传输安全已成为重中之重，HTTPS作为HTTP的安全升级版，通过SSL/TLS协议对数据进行加密，有效防止数据被窃取、篡改和伪造。Nginx作为主流的Web服务器，广泛用于部署网站和服务，本文将详细讲解如何在Nginx中配置SSL证书，从零实现HTTPS加密访问，包含完整实操步骤、配置优化及常见问题排查，适合新手入门和开发者参考。

一、前置知识：HTTPS与SSL证书基础

1.1 HTTPS核心原理

HTTPS（超文本传输安全协议）本质是“HTTP + SSL/TLS”的组合，在HTTP基础上增加了一层加密传输层，其核心作用有三点：数据保密性（传输数据加密，防止窃听）、数据完整性（防止数据被篡改）、身份校验（通过证书验证服务器合法性）。
HTTPS的加密流程依赖非对称加密和对称加密的结合：客户端与服务器握手时，通过非对称加密交换对称加密密钥，后续数据传输则使用对称加密（兼顾安全性和传输效率），同时通过数字证书验证服务器身份，避免中间人攻击。

1.2 SSL证书分类与获取

SSL证书是HTTPS实现的核心，由权威证书颁发机构（CA）签发，证明服务器的身份合法性，常见分类如下：
  • 域名验证型（DV SSL）：仅验证域名所有权，申请简单、免费（如Let’s Encrypt），适合个人网站、博客等非敏感场景。
  • 组织验证型（OV SSL）：验证域名所有权和企业/组织身份，安全性更高，适合企业官网、中小企业服务。
  • 扩展验证型（EV SSL）：最高级别验证，浏览器地址栏会显示绿色锁标+企业名称，适合电商、金融等敏感场景。
本文以最常用的免费DV SSL证书（Let’s Encrypt）为例，讲解获取和配置流程，同时兼容其他类型证书的配置方法。

1.3 配置前置条件

在开始配置前，请确保满足以下条件，避免后续踩坑：
  1. 已安装Nginx（推荐版本1.18.0+，确保编译时启用了--with-http_ssl_module模块）；
  2. 拥有已解析到服务器IP的域名（如www.example.com）；
  3. 服务器开放80端口（用于证书验证）和443端口（HTTPS默认端口）；
  4. 拥有服务器root或sudo权限，能执行Linux命令；
  5. 若使用非免费证书，已获取证书文件（通常包含.crt/.pem证书文件和.key私钥文件）。

二、实操步骤：Nginx SSL证书配置全流程

步骤1：检查Nginx SSL模块是否启用

Nginx需编译--with-http_ssl_module模块才能支持SSL，首先检查模块是否启用：
# 查看Nginx编译参数，确认包含–with-http_ssl_module nginx -V
若输出中包含--with-http_ssl_module，说明模块已启用；若未包含，需重新编译Nginx并添加该模块（具体编译步骤见文末常见问题）。

步骤2：获取SSL证书（以Let’s Encrypt为例）

使用Certbot工具可快速获取Let’s Encrypt免费证书，自动完成域名验证和证书安装，不同系统安装命令略有差异：

2.1 安装Certbot工具

# Ubuntu/Debian系统 sudo apt-get update sudo apt-get install certbot python3-certbot-nginx # CentOS/RHEL系统 sudo yum install epel-release sudo yum install certbot python3-certbot-nginx

2.2 申请并自动配置证书

执行以下命令，替换yourdomain.com为你的实际域名（可同时添加www前缀）：
# 单域名申请（如yourdomain.com） sudo certbot –nginx -d yourdomain.com # 多域名申请（如yourdomain.com和www.yourdomain.com） sudo certbot –nginx -d yourdomain.com -d www.yourdomain.com
执行命令后，按照提示操作：
  1. 输入邮箱（用于接收证书过期提醒）；
  2. 同意服务条款（输入Y）；
  3. 选择是否共享邮箱（可输入N）；
  4. 选择是否将HTTP请求自动跳转至HTTPS（推荐选择2，自动配置跳转）。
执行完成后，Certbot会自动获取证书，并修改Nginx配置文件，证书默认存放在/etc/letsencrypt/live/yourdomain.com/目录下，有效期90天，支持自动续期。

2.3 手动获取证书（非Let’s Encrypt）

若使用付费证书或其他CA机构的证书，需手动生成CSR（证书签名请求）并提交给CA，获取证书后，将证书文件（.crt/.pem）和私钥文件（.key）上传至服务器，建议存放路径为/usr/local/nginx/conf/cert/（可自行创建目录）：
# 创建证书存放目录 mkdir -p /usr/local/nginx/conf/cert # 上传证书文件（可使用scp工具或FTP工具） scp yourdomain.crt root@服务器IP:/usr/local/nginx/conf/cert/ scp yourdomain.key root@服务器IP:/usr/local/nginx/conf/cert/
若证书包含中间证书（.ca-bundle），需合并证书链，避免浏览器显示“证书不受信任”：
cat yourdomain.crt intermediate.crt > ca_bundle.crt

步骤3：手动配置Nginx SSL（推荐，更灵活）

Certbot自动配置虽便捷，但手动配置可更灵活地优化参数，建议在自动配置后，手动调整Nginx配置文件，确保配置规范。

3.1 找到Nginx配置文件

Nginx配置文件默认路径（根据安装方式可能不同）：
  • 编译安装：/usr/local/nginx/conf/nginx.conf
  • yum/apt安装：/etc/nginx/nginx.conf 或 /etc/nginx/sites-available/default
编辑配置文件（以编译安装路径为例）：
vim /usr/local/nginx/conf/nginx.conf

3.2 配置HTTPS服务（核心配置）

在nginx.conf文件中，添加或修改server块，以下是完整的HTTPS配置示例（替换对应域名和证书路径）：
# HTTPS服务配置（监听443端口） server { listen 443 ssl http2; # 启用HTTPS和HTTP/2（HTTP/2提升传输效率） server_name yourdomain.com www.yourdomain.com; # 你的域名 # SSL证书配置 ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; # 证书路径（Let’s Encrypt） # ssl_certificate /usr/local/nginx/conf/cert/ca_bundle.crt; # 手动上传的合并证书路径 ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; # 私钥路径（Let’s Encrypt） # ssl_certificate_key /usr/local/nginx/conf/cert/yourdomain.key; # 手动上传的私钥路径 # SSL优化配置（提升安全性和性能） ssl_protocols TLSv1.2 TLSv1.3; # 禁用不安全的SSLv3、TLSv1.0、TLSv1.1 ssl_prefer_server_ciphers on; # 优先使用服务器端加密套件 ssl_ciphers ‘TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256’; # 强加密套件 ssl_session_timeout 1d; # SSL会话超时时间 ssl_session_cache shared:SSL:50m; # SSL会话缓存 ssl_session_tickets off; # 禁用会话票据，提升安全性 ssl_stapling on; # 启用OCSP装订，提升证书验证速度 ssl_stapling_verify on; # 验证OCSP装订 resolver 8.8.8.8 8.8.4.4 valid=300s; # DNS解析器（用于OCSP验证） resolver_timeout 5s; # 安全响应头（防止常见安全漏洞） add_header X-Frame-Options “SAMEORIGIN” always; # 防止点击劫持 add_header X-Content-Type-Options “nosniff” always; # 防止MIME类型嗅探 add_header X-XSS-Protection “1; mode=block” always; # 防止XSS攻击 add_header Referrer-Policy “no-referrer-when-downgrade” always; # 网站根目录和默认页面（根据实际情况修改） root /usr/local/nginx/html; index index.html index.htm index.php; # 路由配置（根据实际业务调整） location / { try_files $uri $uri/ =404; } # 日志配置（可选，便于排查问题） access_log /var/log/nginx/https_access.log; error_log /var/log/nginx/https_error.log; } # HTTP自动跳转HTTPS（可选，推荐配置） server { listen 80; server_name yourdomain.com www.yourdomain.com; # 永久重定向，将所有HTTP请求跳转至HTTPS rewrite ^(.*)$ https://$host$1 permanent; }

3.3 配置说明

  • listen 443 ssl http2;：443是HTTPS默认端口，ssl表示启用SSL，http2启用HTTP/2协议，提升页面加载速度；
  • ssl_certificate：指定SSL证书文件路径（Let’s Encrypt的fullchain.pem已包含中间证书，无需额外合并）；
  • ssl_certificate_key：指定私钥文件路径，私钥需严格保密，权限设置为600（chmod 600 私钥路径）；
  • SSL优化配置：禁用不安全协议和弱加密套件，提升安全性；启用会话缓存，减少握手耗时；
  • HTTP跳转HTTPS：将80端口的HTTP请求永久重定向至HTTPS，避免用户访问不安全的HTTP地址。

步骤4：验证配置并重启Nginx

配置完成后，先检查配置文件语法是否正确，避免重启Nginx失败：
# 检查Nginx配置语法 nginx -t
若输出nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful，说明语法正确；若报错，根据提示修改配置文件（常见错误：证书路径错误、语法遗漏分号）。
语法验证通过后，重启Nginx使配置生效：
# 重启Nginx（根据安装方式选择命令） # 编译安装 /usr/local/nginx/sbin/nginx -s reload # yum/apt安装 sudo systemctl restart nginx

步骤5：验证HTTPS访问是否成功

有两种方式验证配置结果，确保HTTPS正常生效：
  1. 浏览器访问：打开浏览器，输入https://yourdomain.com，地址栏显示绿色锁标，说明HTTPS配置成功；点击锁标，可查看证书信息（有效期、颁发机构等）。
  2. 命令行验证：使用curl命令测试，若返回200状态码，说明访问正常： curl -I https://yourdomain.com 输出中包含HTTP/2 200（或HTTP/1.1 200），且有Strict-Transport-Security头信息，即为正常。

三、SSL证书自动续期（Let’s Encrypt专属）

Let’s Encrypt免费证书有效期为90天，手动续期繁琐，可配置自动续期任务，避免证书过期导致HTTPS无法访问。

3.1 测试自动续期

# 测试续期命令（不实际续期，仅检查是否正常） sudo certbot renew –dry-run
若输出Congratulations, all simulated renewals succeeded.，说明续期功能正常。

3.2 配置定时任务（crontab）

添加定时任务，每月自动续期证书，并重启Nginx：
# 编辑crontab定时任务 sudo crontab -e # 添加以下内容（每月1日凌晨3点执行续期，续期后重启Nginx） 0 3 1 * * /usr/bin/certbot renew –quiet && /usr/local/nginx/sbin/nginx -s reload
说明：--quiet表示静默续期，不输出多余信息；若Nginx安装路径不同，需修改重启命令的路径。

四、常见问题排查（避坑指南）

配置过程中可能遇到各种问题，以下是最常见的5种问题及解决方案，结合错误日志可快速定位问题：

问题1：Nginx启动失败，报错“SSL_CTX_use_PrivateKey_file failed”

原因：证书与私钥不匹配，或私钥路径错误、权限不足。
解决方案：
  1. 验证证书与私钥是否匹配，使用OpenSSL命令： openssl rsa -noout -modulus -in private.key | openssl md5
    openssl x509 -noout -modulus -in certificate.crt | openssl md5 若输出的MD5值一致，说明匹配；不一致则需重新获取匹配的证书和私钥。
  2. 检查私钥权限，设置为600（仅所有者可读写）： chmod 600 /etc/letsencrypt/live/yourdomain.com/privkey.pem
  3. 确认配置文件中ssl_certificate和ssl_certificate_key路径正确。

问题2：浏览器访问显示“证书不受信任”

原因：证书链不完整（缺少中间证书），或使用自签名证书（未被浏览器信任）。
解决方案：
  1. 若使用Let’s Encrypt证书，确保配置的是fullchain.pem（包含中间证书），而非cert.pem；
  2. 若使用手动上传的证书，合并证书链（将中间证书与主证书合并为一个文件）；
  3. 若使用自签名证书，需在浏览器中手动添加信任（仅适合测试环境，生产环境不推荐）。

问题3：HTTPS无法访问，端口443被占用

原因：443端口被其他服务（如Apache、Tomcat）占用，或防火墙未开放443端口。
解决方案：
  1. 检查443端口占用情况，终止占用进程： sudo netstat -tuln | grep 443
    # 若有占用，终止进程（替换PID为实际进程ID）
    sudo kill -9 PID
  2. 开放443端口（防火墙配置）： # Ubuntu/Debian（ufw防火墙）
    sudo ufw allow 443/tcp

    # CentOS/RHEL（firewalld防火墙）
    sudo firewall-cmd --add-service=https --permanent
    sudo firewall-cmd --reload

问题4：Nginx缺少SSL模块，无法启用HTTPS

原因：编译Nginx时未添加--with-http_ssl_module模块。
解决方案：重新编译Nginx，添加SSL模块：
# 1. 下载Nginx源码（版本与当前安装一致） wget http://nginx.org/download/nginx-1.24.0.tar.gz tar -zxvf nginx-1.24.0.tar.gz cd nginx-1.24.0 # 2. 查看当前Nginx编译参数（复制所有参数） nginx -V # 3. 重新配置，添加–with-http_ssl_module（粘贴之前的参数，追加该模块） ./configure –with-http_ssl_module 其他编译参数 # 4. 编译并安装（不覆盖配置文件） make sudo make install # 5. 验证模块是否启用 nginx -V

问题5：HTTP无法跳转至HTTPS

原因：HTTP的server块配置错误，或重定向规则不正确。
解决方案：
  1. 确保HTTP的server块监听80端口，且server_name与HTTPS一致；
  2. 检查重定向规则，推荐使用rewrite ^(.*)$ https://$host$1 permanent;（永久重定向，SEO更友好）；
  3. 重启Nginx后，清除浏览器缓存，重新测试。

五、总结与优化建议

本文详细讲解了Nginx SSL证书的配置流程，从证书获取、手动配置、验证测试到自动续期和问题排查，覆盖了新手入门到生产环境部署的全场景。通过配置HTTPS，不仅能提升网站安全性，还能提升搜索引擎排名（Google、百度均优先收录HTTPS网站）。
优化建议：
  1. 生产环境推荐使用OV/EV SSL证书，提升用户信任度；
  2. 定期检查证书有效期，确保自动续期功能正常；
  3. 启用HTTP/2协议，结合Gzip压缩，进一步提升网站加载速度；
  4. 定期查看Nginx错误日志（/var/log/nginx/https_error.log），及时排查异常。
如果在配置过程中遇到其他问题，欢迎在评论区留言，我会及时回复解答。觉得本文有用的话，记得点赞、收藏，关注我获取更多Nginx实用教程！
补充：本文基于CentOS 7/Ubuntu 20.04系统、Nginx 1.24.0版本测试，不同系统和Nginx版本的配置细节可能略有差异，需根据实际情况调整。

购买须知/免责声明
1.本文部分内容转载自其它媒体，但并不代表本站赞同其观点和对其真实性负责。
2.若您需要商业运营或用于其他商业活动，请您购买正版授权并合法使用。
3.如果本站有侵犯、不妥之处的资源，请在网站右边客服联系我们。将会第一时间解决！
4.本站所有内容均由互联网收集整理、网友上传，仅供大家参考、学习，不存在任何商业目的与商业用途。
5.本站提供的所有资源仅供参考学习使用，版权归原著所有，禁止下载本站资源参与商业和非法行为，请在24小时之内自行删除！
6.不保证任何源码框架的完整性。
7.侵权联系邮箱：188773464@qq.com
8.若您最终确认购买，则视为您100%认同并接受以上所述全部内容。

海外源码网 Nginx Nginx SSL证书配置：实现HTTPS加密访问 https://moyy.us/22076.html

上一篇： 《Nginx负载均衡配置：轮询、加权、IP哈希全解析》
下一篇： Nginx rewrite规则详解：URL重写的艺术

相关文章

猜你喜欢
热门文章
随机推荐
热门标签
终身VIP会员限时钜惠