如何通过LNMP实现SSL加密通信

在LNMP环境中启用SSL加密通信

一准备与前置检查

二获取并部署SSL证书

方式A（推荐）自动签发并配置：使用 Certbot + Nginx 插件 一键获取证书并修改 Nginx 配置，适用于 Debian/Ubuntu 等常见发行版。
1. 安装 Certbot：sudo apt update && sudo apt install certbot python3-certbot-nginx
2. 获取并安装：sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
3. 按提示选择是否重定向，完成后自动生效。
方式B 手动部署：将证书文件（如 fullchain.pem 与 privkey.pem）上传至服务器（如 /etc/nginx/ssl/），在站点配置中指定路径并 reload Nginx。
方式C 使用 acme.sh 签发与管理：支持 ZeroSSL/ECC 等，签发后可自动拷贝并重载 Nginx。
示例：
- 签发 ECC：/usr/local/acme.sh/acme.sh -f --server zerossl --issue -d example.com -d www.example.com --keylength ec-256 -w /home/wwwroot/example.com
- 安装并重载：/usr/local/acme.sh/acme.sh --install-cert -d example.com --key-file /usr/local/nginx/conf/ssl/example.com.key --fullchain-file /usr/local/nginx/conf/ssl/example.com.cer --reloadcmd “sudo systemctl reload nginx”
可选优化：部署 ECC + RSA 双证书，兼顾兼容性与性能。

三 Nginx HTTPS 配置要点

强制 HTTP→HTTPS：在监听 80 的 server 中使用 return 301 https://$host$request_uri;。
启用 TLS 与强加密套件：优先使用 TLSv1.2/1.3，禁用不安全协议与弱套件。
推荐包含 DH 参数 与 SSL 会话缓存，提升握手效率与安全性。
示例片段：
server {
listen 80;
server_name yourdomain.com www.yourdomain.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
server_name yourdomain.com www.yourdomain.com;
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
include /etc/letsencrypt/options-ssl-nginx.conf;
ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
root /var/www/html;
index index.php index.html;
location / { try_files $uri $uri/ =404; }
location ~ .php$ {
include snippets/fastcgi-php.conf;
fastcgi_pass unix:/var/run/php/php7.4-fpm.sock; # 按实际版本调整
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
include fastcgi_params;
}
}
若使用一键包（如 lnmp.org），可直接执行 lnmp reload 使配置生效。

四验证与运维

配置语法与生效：执行 sudo nginx -t 检查语法，随后 sudo systemctl reload nginx 或 lnmp reload 平滑生效。
在线评测：使用 SSL Labs SSL Server Test 对站点进行评分与安全性检查，按建议优化。
自动续期：
- Certbot 默认创建 cron 或 systemd timer，可手动测试：sudo certbot renew --dry-run。
- acme.sh 通过 –reloadcmd 注册重载命令，证书更新后自动生效。

五常见问题与排查

最新问答