Debian Nginx SSL怎么开启

在 Debian 系统上为 Nginx 开启 SSL（HTTPS），常见做法有两种：使用免费证书（Let’s Encrypt，推荐） 和 自签名证书（测试用）。下面按步骤说明。

一、使用 Let’s Encrypt（生产环境推荐）

1. 安装 Nginx（如果还没装）

sudo apt update
sudo apt install nginx -y

2. 安装 Certbot

sudo apt install certbot python3-certbot-nginx -y

3. 确认域名解析

确保你的域名（如 example.com）已解析到服务器公网 IP。

4. 申请并自动配置 SSL

sudo certbot --nginx -d example.com -d www.example.com

按提示操作：

输入邮箱
同意服务条款
是否重定向 HTTP → HTTPS（建议选 2）

Certbot 会自动：

申请证书
修改 Nginx 配置
重载 Nginx

5. 测试自动续期

sudo certbot renew --dry-run

Let’s Encrypt 证书 90 天自动续期，Debian 默认已配置定时任务。

二、使用自签名证书（仅测试）

1. 生成私钥和证书

sudo openssl req -x509 -nodes -days 365 \
  -newkey rsa:2048 \
  -keyout /etc/ssl/private/nginx-selfsigned.key \
  -out /etc/ssl/certs/nginx-selfsigned.crt

2. 创建 Nginx SSL 配置

sudo nano /etc/nginx/sites-available/ssl-test

示例配置：

server {
    listen 443 ssl;
    server_name your_ip_or_domain;

    ssl_certificate /etc/ssl/certs/nginx-selfsigned.crt;
    ssl_certificate_key /etc/ssl/private/nginx-selfsigned.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    root /var/www/html;
    index index.html;
}

3. 启用并重启

sudo ln -s /etc/nginx/sites-available/ssl-test /etc/nginx/sites-enabled/
sudo nginx -t
sudo systemctl restart nginx

访问：

https://服务器IP

浏览器会提示“不安全”，属于正常现象。

三、强制 HTTP 跳转 HTTPS（推荐）

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

四、常见问题排查

问题	解决方法
443 端口不通	`sudo ufw allow 443`
Nginx 启动失败	`sudo nginx -t`
证书不生效	检查 `server_name` 是否匹配
浏览器报证书错误	自签名证书正常现象

五、推荐安全配置（进阶）

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

如果你愿意，可以告诉我：

✅ Debian 版本（11 / 12）
✅ 是否已有域名
✅ 是否国内服务器（影响 80/443 端口）

我可以给你一份 完全可用的 Nginx SSL 配置模板。