Nginx HTTPS配置全解析：安全网站搭建必看 – wiki基地

作者： /

Nginx HTTPS 配置全解析：安全网站搭建必看

随着互联网安全意识的不断提高，HTTPS（Hypertext Transfer Protocol Secure）已经成为网站的标配。HTTPS 通过在 HTTP 基础上加入 SSL/TLS 协议，对传输的数据进行加密，从而保证了数据传输的安全性、完整性和真实性。Nginx 作为一款高性能的 Web 服务器和反向代理服务器，在 HTTPS 配置方面提供了强大的支持。本文将深入解析 Nginx HTTPS 配置的方方面面，帮助你搭建安全可靠的网站。

一、HTTPS 的重要性

在深入 Nginx 配置之前，我们先来回顾一下 HTTPS 的重要性，这有助于我们理解为什么要进行 HTTPS 配置。

  1. 数据加密: HTTPS 使用 SSL/TLS 协议对客户端和服务器之间传输的数据进行加密。这意味着即使数据在传输过程中被截获，攻击者也无法解密出原始数据，从而保护了用户的隐私和敏感信息（如密码、信用卡号等）。

  2. 数据完整性: HTTPS 通过使用消息认证码（MAC）来验证数据的完整性。这可以确保数据在传输过程中没有被篡改。如果数据被篡改，接收方会检测到并丢弃该数据，从而防止恶意攻击。

  3. 身份认证: HTTPS 使用数字证书来验证服务器的身份。客户端会检查服务器的证书是否由受信任的证书颁发机构（CA）签发，以及证书是否过期或被吊销。这有助于防止中间人攻击，确保用户连接到的是真实的网站，而不是伪造的网站。

  4. SEO 优化: 搜索引擎（如 Google）已经将 HTTPS 作为排名因素之一。这意味着使用 HTTPS 的网站在搜索结果中可能会获得更好的排名。

  5. 用户信任: 浏览器会在地址栏中显示 HTTPS 网站的安全锁标志，这可以增强用户的信任感。用户更倾向于信任并使用安全的网站，特别是在涉及敏感信息时。

二、SSL/TLS 证书

要配置 HTTPS，首先需要获取 SSL/TLS 证书。证书是由受信任的 CA 签发的，用于证明网站的身份。

1. 证书类型

SSL/TLS 证书主要有以下几种类型：

  • 域名验证型证书（DV）： 验证域名所有权，是最基本的证书类型，通常签发速度快，价格便宜。
  • 组织验证型证书（OV）： 验证域名所有权和组织机构的真实性，安全性更高，需要提供组织机构的相关信息。
  • 扩展验证型证书（EV）： 最高级别的证书，验证过程最严格，需要提供详细的组织机构信息，浏览器地址栏会显示组织机构名称。

2. 证书获取

你可以从以下途径获取 SSL/TLS 证书：

  • 商业 CA： 如 DigiCert、Symantec、GlobalSign 等，提供各种类型的证书，通常需要付费。
  • 免费 CA： 如 Let’s Encrypt，提供免费的 DV 证书，适合个人和小型网站。

3. Let’s Encrypt 和 Certbot

Let’s Encrypt 是一个免费、自动化和开放的证书颁发机构，由 Internet Security Research Group（ISRG）运营。Certbot 是 Let’s Encrypt 官方推荐的证书获取和管理工具，可以简化证书的申请、安装和续期过程。

Certbot 安装（以 Ubuntu 为例）：

bash
sudo apt update
sudo apt install certbot python3-certbot-nginx

Certbot 获取证书：

bash
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
这条命令会自动为你的域名生成证书，并配置 Nginx。
-d 参数指定了你的域名，可以指定多个域名。

Certbot 自动续期:

Certbot 会自动设置定时任务来续期证书（通常每 90 天有效）。你可以通过以下命令手动测试续期：

bash
sudo certbot renew --dry-run

三、Nginx HTTPS 配置

获取到 SSL/TLS 证书后，就可以开始配置 Nginx 了。

1. 基本配置

以下是一个基本的 Nginx HTTPS 配置示例：

“`nginx
server {
listen 443 ssl;
server_name yourdomain.com www.yourdomain.com;

ssl_certificate /path/to/your/certificate.crt;
ssl_certificate_key /path/to/your/private.key;

# 其他配置...

}
“`

  • listen 443 ssl;: 监听 443 端口，并启用 SSL/TLS。
  • server_name: 指定你的域名。
  • ssl_certificate: 指定 SSL/TLS 证书的路径。
  • ssl_certificate_key: 指定 SSL/TLS 证书私钥的路径。

将上述配置添加到你的 Nginx 配置文件（通常是 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/yourdomain.com），然后重新加载 Nginx：

bash
sudo nginx -t # 测试配置文件语法
sudo systemctl reload nginx

2. 强制 HTTPS

为了确保所有流量都通过 HTTPS 访问，可以将 HTTP 请求重定向到 HTTPS：

“`nginx
server {
listen 80;
server_name yourdomain.com www.yourdomain.com;
return 301 https://$host$request_uri;
}

server {
listen 443 ssl;
# … 其他配置 …
}
``
在80端口的server块中，使用return 301` 将所有 HTTP 请求永久重定向到 HTTPS。

3. SSL/TLS 协议和密码套件

为了提高安全性，需要配置 Nginx 使用安全的 SSL/TLS 协议和密码套件。

“`nginx
server {
# … 其他配置 …

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
ssl_dhparam /etc/ssl/certs/dhparam.pem; #可选，加强DH密钥交换的安全性
# ... 其他配置 ...

}
“`

  • ssl_protocols: 指定 Nginx 使用的 SSL/TLS 协议版本。建议禁用旧的、不安全的协议（如 SSLv2、SSLv3、TLSv1、TLSv1.1），只启用 TLSv1.2 和 TLSv1.3。
  • ssl_prefer_server_ciphers: 启用服务器优先选择密码套件。
  • ssl_ciphers: 指定 Nginx 使用的密码套件。建议使用强加密算法和密钥交换算法。
  • ssl_dhparam: (可选，但强烈推荐) 指定 Diffie-Hellman 参数文件。这可以增强 Diffie-Hellman 密钥交换的安全性。可以使用以下命令生成：
    bash
    sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

4. HSTS (HTTP Strict Transport Security)

HSTS 是一种安全机制，可以强制浏览器在一段时间内只通过 HTTPS 访问网站。这可以防止中间人攻击和 SSL 剥离攻击。

“`nginx
server {
# … 其他配置 …

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# ... 其他配置 ...

}
``
*Strict-Transport-Security: 设置 HSTS 头部。
*max-age: 指定 HSTS 有效期（以秒为单位）。
*includeSubDomains: （可选）将 HSTS 策略应用于所有子域名。
*preload`: （可选）将域名添加到浏览器的 HSTS 预加载列表中。

5. OCSP Stapling

OCSP（Online Certificate Status Protocol）是一种用于检查 SSL/TLS 证书是否被吊销的协议。OCSP Stapling 是一种优化机制，可以让服务器主动获取 OCSP 响应并将其附加到 SSL/TLS 握手过程中，从而减少客户端的验证时间。

“`nginx
server {
# … 其他配置 …

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/your/ca_bundle.crt; #通常是CA机构提供的中间证书链

# ... 其他配置 ...

}
“`

  • ssl_stapling: 启用 OCSP Stapling。
  • ssl_stapling_verify: 启用 OCSP 响应验证。
  • ssl_trusted_certificate: 指定受信任的 CA 证书链，用于验证 OCSP 响应。这通常是 CA 机构提供的中间证书链文件。

6. 其他安全增强

  • 禁用不安全的 HTTP 方法:

    nginx
    if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 444;
    }
    这段配置只允许 GET、HEAD 和 POST 请求，其他请求（如 PUT、DELETE、OPTIONS 等）会被拒绝。

  • 限制请求大小:
    通过 client_max_body_size 指令限制客户端请求体的大小，防止恶意的大请求攻击。

    nginx
    client_max_body_size 10M;

  • 启用HTTP/2:
    Nginx 1.9.5 及以上版本支持 HTTP/2。HTTP/2 可以显著提高网站性能。要启用 HTTP/2，只需在 listen 指令中添加 http2：
    listen 443 ssl http2;

四、完整配置示例

“`nginx
server {
listen 80;
server_name yourdomain.com www.yourdomain.com;
return 301 https://$host$request_uri;
}

server {
listen 443 ssl http2;
server_name yourdomain.com www.yourdomain.com;

ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';
ssl_dhparam /etc/ssl/certs/dhparam.pem;

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/yourdomain.com/chain.pem;

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 444;
}

client_max_body_size 10M;

# 其他配置...
location / {
        root /var/www/yourdomain;
        index index.html;
}

}
“`

五、测试和验证

配置完成后，务必进行测试和验证，确保 HTTPS 配置正确有效。

  1. 浏览器测试: 使用浏览器访问你的网站，检查地址栏是否显示安全锁标志，以及证书信息是否正确。

  2. SSL Labs 测试: 使用 SSL Labs 的 SSL Server Test 工具（https://www.ssllabs.com/ssltest/）对你的网站进行全面的 HTTPS 安全性评估。该工具会检查你的证书、协议、密码套件、HSTS、OCSP Stapling 等配置，并给出详细的报告和评分。

  3. 命令行工具: 使用 openssl 命令行工具测试连接：

    bash
    openssl s_client -connect yourdomain.com:443

    该命令会显示 SSL/TLS 握手过程的详细信息，包括证书、协议、密码套件等。

六、总结

通过本文的详细解析，你应该已经掌握了 Nginx HTTPS 配置的各个方面。请记住，HTTPS 配置不仅仅是安装证书，还包括选择安全的协议和密码套件、启用 HSTS 和 OCSP Stapling 等。只有综合考虑这些因素，才能真正搭建一个安全可靠的网站，保护你的用户和数据。 定期检查和更新你的配置，以应对不断变化的安全威胁。

发表评论

您的邮箱地址不会被公开。 必填项已用 * 标注

滚动至顶部