Linux怎么配置Nginx自签名SSL证书-LINUX-PHP中文网

应采用本地CA签发方式：先生成CA根证书（ca.crt）和私钥（ca.key），再生成服务器私钥与CSR，最后用CA签发server.crt；将ca.crt导入客户端信任库，Nginx配置中需指定ssl_certificate、ssl_certificate_key及ssl_trusted_certificate，并严格设置文件权限与路径。

linux怎么配置nginx自签名ssl证书

直接用 openssl req -x509 生成单个自签名证书，Nginx 能跑起来，但浏览器会报“您的连接不是私密连接”，而且每次访问都要手动点“高级→继续前往……”，不适合哪怕是最基础的内部测试环境。真要省事又少踩坑，得走本地 CA + 签发服务器证书这条路。

怎么生成可信的自签名证书（不是简单一键）

浏览器不信任单证书，是因为它没根证书链可验证。模拟一个本地 CA，再用它签发服务器证书，后续只要把 ca.crt 导入系统或浏览器信任库，所有用它签的证书就自动被认了。

先建本地 CA（有效期建议设长些，避免频繁重做）：

openssl req -x509 -nodes -days 36500 -newkey rsa:2048 \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=MyInternalCA" \
  -keyout ca.key -out ca.crt

生成服务器私钥：
```
openssl genrsa -out server.key 2048
```

生成 CSR，注意 CN 必须填你实际访问的地址（比如 intranet.local 或内网 IP）：

openssl req -new -key server.key -out server.csr \
  -subj "/C=CN/ST=Beijing/L=Beijing/O=MyApp/CN=intranet.local"

用 CA 签发服务器证书：

openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key \
  -CAcreateserial -out server.crt -days 3650 -sha256

这四步做完，你会得到 ca.crt、server.crt、server.key 三个文件——ca.crt 是信任锚，不能丢；server.crt 和 server.key 才是给 Nginx 用的。

证书放哪？权限怎么设才不被 Nginx 拒绝

Nginx 主进程以 root 启动，但 worker 进程默认降权运行（如用户 nginx 或 www-data）。如果证书路径不可读，或者私钥权限太松，Nginx 启动时会静默失败或报 SSL_CTX_use_PrivateKey_file() failed。

统一放到 /etc/nginx/ssl/，新建并赋权：

sudo mkdir -p /etc/nginx/ssl && \
sudo chown root:root /etc/nginx/ssl && \
sudo chmod 700 /etc/nginx/ssl

复制证书文件：

sudo cp server.crt server.key ca.crt /etc/nginx/ssl/

私钥必须仅 root 可读：

sudo chmod 600 /etc/nginx/ssl/server.key

证书文件可设为 644：

sudo chmod 644 /etc/nginx/ssl/server.crt /etc/nginx/ssl/ca.crt

别图省事把证书扔进 /tmp 或用户家目录——Nginx worker 进程很可能没权限读取，且重启后可能丢失。

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

Nginx 配置里哪些 ssl_* 指令不能少

只写 ssl_certificate 和 ssl_certificate_key，Nginx 能启动，但客户端（尤其是 Chrome/Firefox）可能因无法验证证书链而报错。关键是要让客户端拿到完整的信任路径。

监听必须明确带 ssl：
```
listen 443 ssl http2;
```

证书和私钥路径要绝对准确：

ssl_certificate /etc/nginx/ssl/server.crt;<br>ssl_certificate_key /etc/nginx/ssl/server.key;

必须提供信任链（即你的 ca.crt），否则浏览器找不到根：
```
ssl_trusted_certificate /etc/nginx/ssl/ca.crt;
```
禁用老旧协议，至少启用 TLSv1.2：
```
ssl_protocols TLSv1.2 TLSv1.3;
```

ssl_trusted_certificate 这个指令容易被忽略——它不参与服务端证书发送，而是供 Nginx 内部做 OCSP stapling 或证书链验证用；但对自签名场景，它让 Nginx 知道该信任谁，间接影响客户端行为。漏掉它，某些客户端会拒绝建立连接。

为什么 reload 后 HTTPS 还打不开？常见卡点

配置改完，nginx -t 显示 success，nginx -s reload 也无报错，但 curl 或浏览器连不上 443，大概率是这几个地方出了问题：

防火墙拦了 443 端口：

sudo ufw allow 443

（Ubuntu）或

sudo firewall-cmd --permanent --add-port=443/tcp && sudo firewall-cmd --reload

（CentOS/RHEL）

SELinux 强制限制（尤其 CentOS）：
```
sudo setsebool -P httpd_can_network_connect 1
```
，必要时检查上下文：
```
ls -Z /etc/nginx/ssl/
```
证书 CN 不匹配访问域名：比如证书 CN 是 intranet.local，但你用 https://192.168.1.100 访问，浏览器直接拒连——要么改 hosts 绑定域名，要么重签证书时把 CN 设成 IP（需加 -addext "subjectAltName = IP:192.168.1.100"）
ssl_certificate 路径写错，或文件被覆盖：用 sudo ls -l /etc/nginx/ssl/ 确认文件存在且大小非零