Nginx 为多域名提供独立 HTTPS 服务需为每个域名配置独立 server 块，显式声明 listen 443 ssl 及全部 SSL 指令（如 ssl_protocols、ssl_ciphers），不可跨块复用；依赖 SNI 区分域名与证书，不支持 if 条件切换；须通过 nginx -t 和 SSL Labs 验证配置有效性。
要在一个 Nginx 实例上为多个域名提供 HTTPS 服务，并各自使用独立的 SSL 配置（如不同 TLS 版本、密钥交换算法、证书链等），核心是为每个域名定义独立的 server 块，并在其中完整声明 SSL 相关指令。
每个 server 块必须独立配置 SSL 参数
Nginx 不支持跨 server 块复用 SSL 设置。即使两个站点共用同一份证书，若需启用不同协议栈（例如一个只允许 TLSv1.2+，另一个需兼容 TLSv1.1），就必须分别写明 ssl_protocols、ssl_ciphers、ssl_prefer_server_ciphers 等指令。
- 避免在
http块中全局设置ssl_*指令（除ssl_certificate和ssl_certificate_key可被继承外，多数安全相关指令以 server 级为准） - 每个
server必须显式指定listen 443 ssl，否则不会启用 HTTPS 上下文 - 若使用 ECDSA 和 RSA 双证书，需在同一 server 块内用
ssl_certificate和ssl_certificate_key指向对应文件，并确保 OpenSSL 版本 ≥1.0.2 支持多证书
区分 SNI 主机与协议栈策略
SSL 协商发生在 HTTP 请求之前，Nginx 依赖客户端通过 SNI（Server Name Indication）扩展告知目标域名，才能选择对应 server 块及其中的证书和加密配置。
- 确保客户端支持 SNI（现代浏览器/系统均支持；老旧 Android 4.0 以下或 IE on XP 不支持）
- 不要试图用
if ($host = ...)在单个 server 内做条件 SSL 切换——该逻辑在 SSL 握手阶段不可用，会导致配置无效或降级到默认证书 - 可通过
openssl s_client -connect example.com:443 -servername example.com -tls1_2验证特定协议和 SNI 是否生效
常见协议栈组合示例
根据安全等级与兼容性需求，可为不同业务场景定制 cipher suite 与协议版本：
-
高安全内部系统：仅 TLSv1.3，禁用所有传统密钥交换
ssl_protocols TLSv1.3;<br>ssl_ciphers TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384;
-
面向公众的主站：兼顾安全与主流兼容性
ssl_protocols TLSv1.2 TLSv1.3;<br>ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
-
遗留设备接入子域（如 IoT 设备）：
ssl_protocols TLSv1.1 TLSv1.2;<br>ssl_ciphers ECDHE-RSA-AES128-SHA:AES128-SHA;
（慎用，仅限隔离环境）
验证与调试要点
配置完成后务必逐项验证，避免因拼写错误或指令作用域问题导致静默失效：
- 运行
nginx -t检查语法；重载前确认无 warning（如 “ssl_protocols is ignored” 表示该指令出现在错误上下文中） - 用 SSL Labs Test 查看实际协商结果，重点关注 Handshake Simulation 中各客户端所用协议与 cipher
- 查看 Nginx error log，TLS 握手失败常记录为
SSL_do_handshake() failed，配合ssl_verify_client或 OCSP Stapling 配置时更需关注日志细节
