要配置Nginx的SSL/TLS服務(wù)，需準(zhǔn)備證書和私鑰並在server block中設(shè)置相關(guān)參數(shù)。 1. 準(zhǔn)備證書文件：獲取.crt或.pem格式的證書及對(duì)應(yīng)的.key私鑰，可使用Let's Encrypt或商業(yè)機(jī)構(gòu)頒發(fā)，並合併中間證書至bundle文件；2. 配置server block：在站點(diǎn)配置文件中定義listen 443 ssl、ssl_certificate路徑為/etc/ssl/example.com.crt、ssl_certificate_key路徑為/etc/ssl/example.com.key，並設(shè)置ssl_protocols啟用TLSv1.2及以上版本、ssl_ciphers選擇安全加密套件；3. 強(qiáng)制跳轉(zhuǎn)HTTPS（可選）：添加監(jiān)聽80端口的server塊，通過return 301重定向至HTTPS地址；4. 檢查並重啟Nginx：運(yùn)行sudo nginx -t驗(yàn)證配置語法，確認(rèn)無誤後執(zhí)行sudo systemctl reload nginx生效配置，同時(shí)確保防火牆允許443端口流量。完成以上步驟後即可通過HTTPS訪問網(wǎng)站且瀏覽器顯示安全標(biāo)識(shí)。

要配置Nginx 的SSL/TLS 服務(wù)，你需要準(zhǔn)備SSL 證書和私鑰，並在Nginx 的server block 中正確設(shè)置相關(guān)參數(shù)。以下是具體操作步驟。

準(zhǔn)備SSL 證書文件

在開始配置之前，你需要有一對(duì)SSL 證書文件：

• 一個(gè)是證書文件（通常以.crt或.pem結(jié)尾）
• 另一個(gè)是私鑰文件（ .key ）

你可以使用Let's Encrypt 免費(fèi)獲取證書，也可以從商業(yè)機(jī)構(gòu)購買。假設(shè)你已經(jīng)獲得了以下兩個(gè)文件：

• /etc/ssl/example.com.crt
• /etc/ssl/example.com.key

如果你使用的是中間證書頒發(fā)機(jī)構(gòu)提供的證書，可能還需要一個(gè)中間證書的bundle 文件，比如/etc/ssl/example.com.bundle.crt ，這時(shí)候你應(yīng)該將你的證書和中間證書合併成一個(gè)文件供Nginx 使用。

配置Nginx Server Block

打開或創(chuàng)建一個(gè)Nginx 的站點(diǎn)配置文件，一般位於/etc/nginx/sites-available/目錄下。下面是一個(gè)典型的SSL server block 示例：

 server {
    listen 443 ssl;
    server_name example.com www.example.com;

    ssl_certificate /etc/ssl/example.com.crt;
    ssl_certificate_key /etc/ssl/example.com.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        root /var/www/html;
        index index.html;
        try_files $uri $uri/ =404;
    }
}

關(guān)鍵點(diǎn)說明：

• listen 443 ssl;表示這個(gè)塊監(jiān)聽HTTPS 請(qǐng)求。
• ssl_certificate和ssl_certificate_key分別指向你的證書和私鑰路徑。
• ssl_protocols推薦至少啟用TLSv1.2，如果支持更高版本可以加上TLSv1.3。
• ssl_ciphers設(shè)置加密套件，建議避免老舊或不安全的算法。

強(qiáng)制跳轉(zhuǎn)HTTPS（可選）

很多情況下你會(huì)希望用戶始終通過HTTPS 訪問網(wǎng)站。為此，你可以添加一個(gè)監(jiān)聽80 端口的server block，將所有請(qǐng)求重定向到HTTPS：

 server {
    listen 80;
    server_name example.com www.example.com;

    return 301 https://$host$request_uri;
}

這樣用戶訪問HTTP 時(shí)會(huì)被自動(dòng)跳轉(zhuǎn)到HTTPS 版本。

注意：確保防火牆允許443 端口流量。如果你用的是UFW，可以通過ufw allow 443/tcp開啟。

檢查並重啟Nginx

完成配置後，運(yùn)行以下命令檢查語法是否正確：

 sudo nginx -t

如果沒有錯(cuò)誤，重新加載配置：

 sudo systemctl reload nginx

現(xiàn)在你應(yīng)該能通過https://example.com訪問你的網(wǎng)站，並看到瀏覽器地址欄顯示鎖形標(biāo)誌，表示SSL/TLS 已生效。

基本上就這些。整個(gè)過程不算複雜，但容易忽略SSL 路徑、權(quán)限或協(xié)議配置的問題，多注意排查即可。

以上是如何在端口443上為SSL/TLS配置NGINX服務(wù)器塊？的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！