nginx在centos上ssl调试技巧

Nginx 在 CentOS 上的 SSL 调试技巧

一 快速自检与定位路径

• 确认服务与语法：检查 Nginx 是否运行、配置是否可用，执行：sudo systemctl status nginx、sudo nginx -t。
• 核对证书与密钥路径：确保 ssl_certificate 与 ssl_certificate_key 指向正确文件，且文件存在：ls -l /path/to/.crt /path/to/.key。
• 查看错误日志：第一时间看 /var/log/nginx/error.log，大多数 SSL 启动或握手问题都会在这里给出明确线索。
• 在线体检：用 SSL Labs Server Test 检查协议、套件、链是否完整，目标是 A/A+。
• 端口连通：确认 443 已放行（云安全组/本机防火墙），并能建立 TCP 连接。

二 常见报错对照与修复要点

三 深入排查命令清单

• 本地语法与配置测试：sudo nginx -t。
• 证书链与服务器证书查看：
  • 查看服务器证书链：openssl s_client -connect example.com:443 -showcerts
  • 校验证书与私钥匹配：
    • openssl x509 -noout -modulus -in server.crt | openssl md5
    • openssl rsa -noout -modulus -in server.key | openssl md5
• 指定协议版本测试握手：openssl s_client -connect example.com:443 -tls1_2 或 -tls1_3。
• 客户端视角抓握手细节：curl -vkI https://example.com。
• 抓包分析（定位中间设备干扰）：sudo tcpdump -ni any -s0 -w ssl.pcap port 443，用 Wireshark 查看 ClientHello/ServerHello。

四 配置与运维要点

• 证书与路径：
  • Let’s Encrypt：使用 fullchain.pem 与 privkey.pem；证书路径常见为 /etc/letsencrypt/live/yourdomain/。
  • 权限与上下文：证书 644、目录 755；若 SELinux 启用，确认类型为 httpd_sys_content_t 或相应可访问类型。
• 协议与套件（示例）：
  • 仅启用安全协议：ssl_protocols TLSv1.2 TLSv1.3;
  • 现代套件：ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
  • 优先服务器套件：ssl_prefer_server_ciphers on;
• HTTP/2 排障：若异常，临时移除 http2 验证是否为协议协商问题。
• 调试日志：仅在排障时启用 error_log … debug; ，避免性能与日志压力。

五 最小化调试配置模板

• 前端 HTTPS 与 HTTP→HTTPS 跳转：

server {
    
    listen 80;
    
    server_name yourdomain.com;
    
    return 301 https://$host$request_uri;

}

server {
    
    listen 443 ssl http2;
    
    server_name yourdomain.com;
    

    ssl_certificate     /etc/letsencrypt/live/yourdomain/fullchain.pem;
    
    ssl_certificate_key /etc/letsencrypt/live/yourdomain/privkey.pem;
    

    ssl_protocols       TLSv1.2 TLSv1.3;
    
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:
                       ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
    
    ssl_prefer_server_ciphers on;


    location / {
    
        root /usr/share/nginx/html;
    
        index index.html;

    }

}

• 反向代理到上游 HTTPS（证书校验可选）：

location / {
    
    proxy_pass https://backend.example.com;
    
    proxy_ssl_verify on;
                     # 生产建议开启
    proxy_ssl_trusted_certificate /etc/nginx/ssl/ca-bundle.crt;
      # 上游 CA 或中间证书
    proxy_ssl_verify_depth 2;
    
    proxy_set_header Host $host;
    
    proxy_set_header X-Real-IP $remote_addr;
    
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

}
    

• 变更后执行：sudo nginx -t & & sudo systemctl reload nginx。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！