如何使用 nginx 安装letsencrypt证书？答案

【问题标题】：How to install a letsencrypt cert with nginx?如何使用 nginx 安装letsencrypt证书？
【发布时间】：2016-03-17 05:09:41
【问题描述】：

我使用letsencrypt 在 ubuntu 上为最新的 nginx 安装 SSL 证书。设置很好，效果很好，但以下情况除外：

我对 SSL 了解不多，无法知道发生了什么，但我有一个怀疑：不久前我为 Apache 安装了 SSL 证书，现在因为它支持 http/2 而迁移到 Nginx。由于 nginx 插件还不稳定，我不得不自己安装证书，这就是我所做的：

在我的 nginx 配置中 (/etc/nginx/conf/default.conf) 我添加了：

server {
    listen       80;
    server_name  [domain];
    return 301   https://$host$request_uri;
}

server {
    listen       443 http2;
    listen       [::]:443 http2;
    server_name  [domain];

    ssl on;
    ssl_certificate /etc/letsencrypt/live/[domain]/cert.pem;
    ssl_certificate_key /etc/letsencrypt/live/[domain]/privkey.pem;
}

这可能会以某种方式破坏链条吗？这里的正确方法是什么？

谢谢大家

【问题讨论】：

标签： ssl nginx lets-encrypt

【解决方案1】：

1) 对于强大的 Diffie-Hellman 和避免 Logjam 攻击，请参阅 this great manual。

您需要使用这些指令扩展您的 nginx 配置（在您生成 dhparams.pem 文件之后）：

ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/nginx/ssl/dhparams.pem;

2) 要获得正确的证书链，请使用 fullchain.pem，而不是 cert.pem，详情请参阅this great tutorial。

你将获得 A 级 :)

3) 并作为奖励尝试这项优质服务：

"Generate Mozilla Security Recommended Web Server Configuration Files".

【讨论】：

生成器有哪些选项？ Intermediate 和 HSTS 是否启用？
现在正在生成dhparams.pem...感谢您的帮助，先生！