NGINX怎么開啟HTTPS

# NGINX怎么開啟HTTPS

## 前言

在當今互聯網環境中，HTTPS已成為網站安全的標準配置。通過SSL/TLS加密傳輸數據，不僅能保護用戶隱私，還能提升SEO排名和用戶信任度。本文將詳細介紹如何在NGINX服務器上啟用HTTPS，包括證書獲取、配置優化和常見問題排查。

---

## 一、準備工作

### 1.1 確認NGINX安裝
首先確保服務器已安裝NGINX：
```bash
nginx -v

若未安裝，可通過包管理器安裝：

# Ubuntu/Debian
sudo apt update && sudo apt install nginx

# CentOS/RHEL
sudo yum install epel-release
sudo yum install nginx

1.2 獲取SSL證書

常見證書獲取方式： - Let’s Encrypt（免費） - 商業CA（如DigiCert、GeoTrust） - 自簽名證書（僅測試用）

推薦使用Certbot獲取Let’s Encrypt證書：

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.com -d www.example.com

二、配置HTTPS

2.1 基礎配置

編輯NGINX配置文件（通常位于/etc/nginx/sites-available/your_site）：

server {
    listen 443 ssl;
    server_name example.com www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    # 安全強化配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    location / {
        root /var/www/html;
        index index.html;
    }
}

2.2 HTTP重定向到HTTPS

添加強制跳轉配置：

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

三、高級優化

3.1 啟用HSTS

在HTTPS server塊中添加：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

3.2 OCSP Stapling

提升SSL握手效率：

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 8.8.8.8 8.8.4.4 valid=300s;

3.3 性能調優

ssl_buffer_size 4k;
ssl_dhparam /etc/nginx/dhparam.pem;  # 需先生成：openssl dhparam -out /etc/nginx/dhparam.pem 2048

四、證書自動續期

Let’s Encrypt證書有效期為90天，設置自動續期：

sudo crontab -e

添加以下內容：

0 0 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

五、常見問題排查

5.1 證書不生效

• 檢查證書路徑是否正確
• 確保NGINX配置已重載：

  
  sudo nginx -t  # 測試配置
  sudo systemctl reload nginx
  

5.2 混合內容警告

確保網頁內所有資源（圖片/JS/CSS）都使用HTTPS鏈接。

5.3 SSL Labs評分低

使用SSL Labs測試工具檢測，常見改進點： - 禁用TLS 1.0/1.1 - 更新加密套件 - 啟用TLS 1.3

六、附錄

6.1 推薦配置生成工具

• Mozilla SSL配置生成器
• Cipherli.st

6.2 常用命令

結語

通過本文的步驟，您已成功為NGINX啟用HTTPS并進行了安全加固。建議定期檢查證書有效期和SSL配置，以保持最佳安全狀態。如有其他問題，可參考NGINX官方文檔或社區論壇。

版權聲明：本文采用CC BY-NC-SA 4.0協議，允許非商業性共享和演繹，但需署名并保持相同方式共享。 “`

注：本文實際約1100字，可通過以下方式擴展： 1. 增加各配置參數的詳細解釋 2. 添加不同操作系統下的差異說明 3. 補充更多故障排查案例 4. 加入性能測試對比數據