如何在Ubuntu LNMP中配置SSL证书

Ubuntu LNMP 配置 SSL 证书

一 准备与前置检查

• 确保域名已正确解析到服务器，且可通过 HTTP 80 访问；如启用 UFW，放行 Nginx Full（同时允许 80/443）：sudo ufw allow ‘Nginx Full’。
• 确认 Nginx 与 PHP-FPM 正常运行：sudo systemctl start nginx && sudo systemctl enable nginx；sudo systemctl start php*-fpm && sudo systemctl enable php*-fpm。
• 准备好 Web 根目录与 PHP 处理（如 fastcgi_pass 使用 socket 或 127.0.0.1:9000），后续 SSL 配置会复用现有站点配置。

二 方式一 使用 Certbot 自动获取并配置（推荐）

• 安装 Certbot 与 Nginx 插件：sudo apt update && sudo apt install certbot python3-certbot-nginx -y。
• 获取并自动配置证书（可一次指定多个域名）：sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com。按向导选择是否重定向 HTTP→HTTPS。
• 验证与续期：证书有效期 90 天；Certbot 默认创建 systemd timer 自动续期，可检查：sudo systemctl list-timers | grep certbot；如需手动测试续期：sudo certbot renew --dry-run。
• 验证站点：访问 https://yourdomain.com，确认锁标与证书链正确。

三 方式二 使用 acme.sh 签发并部署证书

• 安装 acme.sh：curl https://get.acme.sh | sh -s email=my@example.com（重连终端后 acme.sh 可用）。
• 选择 CA 并签发（HTTP 验证，自动修改 Nginx 做验证）：acme.sh --set-default-ca --server letsencrypt；acme.sh --issue -d yourdomain.com --nginx。
• 安装证书到 Nginx 目录并注册自动重载：
  mkdir -p /etc/nginx/ssl/yourdomain.com
  acme.sh --install-cert -d yourdomain.com \ –key-file /etc/nginx/ssl/yourdomain.com/key.pem \ –fullchain-file /etc/nginx/ssl/yourdomain.com/fullchain.pem \ –reloadcmd “systemctl reload nginx”
• 在 Nginx 站点中配置 SSL（见下一节示例），然后测试并重载：sudo nginx -t && sudo systemctl reload nginx。

四 方式三 使用 LNMP.org 脚本一键或手动配置

• 一键申请 Let’s Encrypt：在创建虚拟主机时选择 Use Let’s Encrypt，脚本会自动申请并写入 SSL 配置。
• 手动指定自有证书：选择 Use your own SSL Certificate and Key，填写证书与密钥的绝对路径。
• 证书路径通常为：/etc/letsencrypt/live/yourdomain.com/fullchain.pem（证书链）与 /etc/letsencrypt/live/yourdomain.com/privkey.pem（私钥）。
• 虚拟主机配置文件默认位于：/usr/local/nginx/conf/vhost/yourdomain.conf；如需 HTTP→HTTPS 强制跳转，在 80 端口 server 中加入：return 301 https://$host$request_uri;。

五 Nginx SSL 配置示例与常见问题

• 示例配置（80 强制跳转 + 443 SSL，适配 Certbot 或 acme.sh 生成的证书）

  server {
      listen 80;
      server_name yourdomain.com www.yourdomain.com;
      return 301 https://$host$request_uri;
  }
  
  server {
      listen 443 ssl http2;
      server_name yourdomain.com www.yourdomain.com;
  
      ssl_certificate     /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
      ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
      include             /etc/letsencrypt/options-ssl-nginx.conf;
      ssl_dhparam         /etc/letsencrypt/ssl-dhparams.pem;
  
      root /var/www/html/yourdomain;
      index index.php index.html;
  
      location / {
          try_files $uri $uri/ =404;
      }
  
      location ~ \.php$ {
          include fastcgi_params;
          fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
          fastcgi_pass unix:/run/php/php8.2-fpm.sock;  # 或 127.0.0.1:9000
      }
  
      location ~ /\.ht {
          deny all;
      }
  }
  

  检查并重载：sudo nginx -t && sudo systemctl reload nginx。
• 常见问题与排查
  • 权限问题：确保 Nginx 与 PHP-FPM 运行用户一致（如均为 www-data），否则可能出现 502 Bad Gateway 或 Permission denied（检查 /run/php/*.sock 的属主/权限）。
  • 防火墙：如使用 UFW，放行 Nginx Full。
  • 证书路径错误：Nginx 配置中证书与密钥必须为绝对路径，且文件存在；常见路径为 /etc/letsencrypt/live/yourdomain.com/。
  • 续期失败：确认域名解析与端口 80/443 可达；使用 --dry-run 排查。