openssl 生成高强度 dh 参数文件是提升 nginx tls 前向保密性的关键，推荐 2048 或 3072 位，避免 4096 位；需用标准 dhparam 命令、设 chmod 600 权限、验证路径可读，并在 server 块中正确配置 ssl_dhparam 指令。

直接用 OpenSSL 生成高强度 DH 参数文件，是提升 Nginx TLS 前向保密性的关键一步。它不加密数据，但为 DHE 类密码套件提供安全底座——跳过或用弱参数，等于把密钥交换的“地基”暴露在外。

选对位长：2048 或 3072 是主流选择

位长决定安全性与握手开销的平衡：

• 2048 位：适合大多数生产环境，满足 PCI DSS、等保 2.0 等合规要求；生成通常几十秒内完成，Nginx 加载快、兼容性好
• 3072 位：推荐用于金融、政务等高敏感场景；能更好抵御未来算力进步，生成耗时约 1–3 分钟，仍属可接受范围
• 避免 4096 位：生成可能耗时数小时，Nginx 启动易超时，且安全收益提升极小

正确执行生成命令，避开常见错误

用标准 openssl dhparam，别加多余参数：

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• 生成 2048 位参数（推荐）：
  openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048
• 生成 3072 位参数（更保守）：
  openssl dhparam -out /etc/nginx/ssl/dhparam.pem 3072
• 绝对不要加 -dsaparam：它生成的是 DSA 兼容参数，不适用于标准 DH 密钥交换，会导致旧版 Android、OpenSSL 1.0.x 客户端握手失败
• 生成过程无输出属正常，耐心等待；如需后台运行，可用：
  nohup openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048 &

生成后必须检查和加固

文件生成完不能直接扔进配置里，还要做三件事：

• 确认内容格式：用 head -n 3 /etc/nginx/ssl/dhparam.pem 查看，应以 -----BEGIN DH PARAMETERS----- 开头
• 设置严格权限：chmod 600 /etc/nginx/ssl/dhparam.pem，防止非 root 用户读取
• 验证路径可读：确保 Nginx worker 进程能访问该路径，尤其注意 SELinux 或 AppArmor 是否拦截

后续在 Nginx 中启用它

参数文件只是基础，还得配进 server 块才生效：

• 放在 ssl_certificate 和 ssl_certificate_key 之后
• 必须写在启用 SSL 的 server 块内，不建议放全局 http 块
• 典型写法：
  ssl_dhparam /etc/nginx/ssl/dhparam.pem;
• 改完 reload Nginx：nginx -t && nginx -s reload

不复杂但容易忽略。生成一次，用好几年，关键是位长选准、命令写对、权限设严、位置放稳。