生成NginxSSL证书的完整指南
海外云服务器 40个地区可选 亚太云服务器 香港 日本 韩国
云虚拟主机 个人和企业网站的理想选择 俄罗斯电商外贸虚拟主机 赠送SSL证书
美国云虚拟主机 助力出海企业低成本上云 WAF网站防火墙 为您的业务网站保驾护航
本文提供了生成Nginx SSL证书的完整指南，使用Let's Encrypt免费获取SSL证书，通过Certbot工具自动化申请和安装过程，配置Nginx服务器以使用新生成的证书文件，确保正确设置ssl_certificate和ssl_certificate_key指令指向证书和密钥文件路径，重启Nginx服务以应用更改，并定期更新证书以保持站点的安全性，通过这些步骤，可以有效增强网站的安全性和可信度。
在当今数字化时代,网站的安全性变得至关重要，使用SSL证书可以加密网站与用户之间的通信，确保敏感信息（如用户名、密码和信用卡信息）不会被窃取，Nginx 是一种高性能的Web服务器，支持SSL/TLS协议，本文将详细介绍如何为Nginx配置SSL证书，涵盖自签名证书和由受信任的证书颁发机构（CA）签发的证书。
什么是SSL证书？
SSL（Secure Sockets Layer）是一种加密协议，用于在客户端（通常是浏览器）和服务器之间建立安全连接，SSL证书包含公钥、域名信息以及数字签名等，用于验证服务器的身份，通过SSL证书，网站可以提供HTTPS服务，从而提高安全性并增强用户体验。
自签名证书与受信任的证书
-
自签名证书：开发者或管理员可以在本地环境中生成自签名证书，这种方式适合开发和测试阶段，但不适合生产环境，因为浏览器会警告用户该站点不安全，这可能会影响用户体验和信任度。
-
受信任的证书：由受信任的第三方CA签发的证书适用于生产环境，这些证书经过严格的验证过程，并受到广泛认可，能够有效提升用户的信任度。
准备工作
在开始之前,请确保已安装Nginx，并且熟悉基本的命令行操作，您还需要安装OpenSSL工具包，它用于生成私钥和CSR（Certificate Signing Request），如果尚未安装OpenSSL，可以通过以下命令进行安装：
sudo apt-get update sudo apt-get install openssl
确保您的服务器有权访问互联网,以便下载受信任的证书。
生成私钥
我们需要创建一个私钥文件,私钥是加密密钥的一部分，仅限于服务器持有，以下是生成私钥的步骤：
openssl genrsa -out server.key 2048
这将生成一个名为server.key的2048位私钥文件，请妥善保管此文件，因为它对于安全至关重要。
创建CSR
我们将基于刚刚生成的私钥创建CSR,CSR包含了申请证书所需的详细信息，例如组织名称、国家代码等。
openssl req -new -key server.key -out server.csr
系统会提示您输入一些基本信息,根据实际情况填写即可，确保信息准确无误，完成后，您将获得一个server.csr文件。
配置Nginx以使用SSL
现在我们已经准备好了私钥和CSR,接下来需要修改Nginx配置文件，使其支持SSL，通常情况下，Nginx的主配置文件位于/etc/nginx/nginx.conf或者/etc/nginx/sites-available/default，找到对应的虚拟主机配置块，并添加以下内容：
server {
listen 443 ssl;
server_name yourdomain.com;
ssl_certificate /path/to/your/certificate.crt;
ssl_certificate_key /path/to/your/server.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
# 其他配置项...
}
请注意将yourdomain.com替换为您自己的域名，并更新路径以指向正确的证书和私钥文件。
测试配置并重启Nginx
完成上述更改后,建议先测试Nginx配置是否正确，运行以下命令：
sudo nginx -t
如果没有错误,则可以安全地重新加载Nginx服务：
sudo systemctl reload nginx
获取受信任的SSL证书
如果您打算在生产环境中使用,建议从受信任的CA获取正式证书，常用的选择包括Let's Encrypt、Comodo等，以Let's Encrypt为例，您可以使用Certbot自动化工具来申请免费的SSL证书，首先安装Certbot及其插件：
sudo apt-get update sudo apt-get install certbot python3-certbot-nginx
然后使用Certbot生成证书：
sudo certbot --nginx -d yourdomain.com
按照提示完成身份验证和证书请求过程,Certbot会自动更新Nginx配置并将证书保存到指定位置。
定期更新证书
大多数SSL证书的有效期为90天,为了确保您的站点始终处于安全状态，建议设置定时任务定期检查并更新证书，您可以通过Cron表达式实现这一点，在Ubuntu上可以编辑Cron表：
crontab -e
添加如下行以每天凌晨2点执行Certbot：
0 2 * * * /usr/bin/certbot renew --quiet
这样就可以保证您的SSL证书总是最新的。
通过以上步骤,您应该能够成功为Nginx配置SSL证书，无论是自签名证书还是由CA签发的专业证书，都能够让您的网站更加安全可靠，希望这篇文章能帮助您顺利完成这一过程，如果有任何疑问或遇到问题，请随时查阅官方文档或寻求社区帮助。
