Debian nginxssl证书怎么申请

在 Debian 上给 Nginx 配置 SSL 证书，最常见、免费、自动化程度最高的是使用 Let’s Encrypt + Certbot。下面按步骤说明。

一、前提条件

你有一台 Debian 服务器（如 Debian 11 / 12）
已安装 Nginx
有一个域名（如 example.com）
域名已解析到服务器公网 IP
服务器 80 / 443 端口可访问

二、安装 Certbot（Let’s Encrypt 客户端）

1. 更新系统

sudo apt update
sudo apt upgrade -y

2. 安装 Certbot 和 Nginx 插件

sudo apt install certbot python3-certbot-nginx -y

三、申请 SSL 证书

方法一：自动配置 Nginx（推荐）

sudo certbot --nginx -d example.com -d www.example.com

Certbot 会：

自动申请证书
自动修改 Nginx 配置
开启 HTTPS
设置 80 → 443 跳转

方法二：只申请证书（手动配置）

sudo certbot certonly --nginx -d example.com

证书默认位置：

/etc/letsencrypt/live/example.com/
├── fullchain.pem
├── privkey.pem

四、Nginx 手动配置示例（如未自动配置）

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    location / {
        root /var/www/html;
        index index.html;
    }
}

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

重启 Nginx：

sudo nginx -t
sudo systemctl restart nginx

五、自动续期（非常重要）

Let’s Encrypt 证书 90 天 有效。

测试续期：

sudo certbot renew --dry-run

Certbot 已自带 systemd 定时任务，一般无需手动配置。

六、常见问题

1. 80 端口被占用 / 无法访问

检查防火墙
检查云服务器安全组

2. 域名未解析

ping example.com

3. 使用 CDN（如 Cloudflare）

关代理或改为“仅 DNS”
或用 DNS 验证方式：

sudo certbot certonly --manual --preferred-challenges dns -d example.com

七、总结

✅ 最推荐方案：

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d 你的域名

如果你愿意，可以告诉我：

Debian 版本
是否用 CDN
单域名还是多域名

我可以给你更精确的配置。