Nginx 怎么在 Nginx 中配置国际与国内双重国密 SSL 证书的无缝兼容调度-Nginx-PHP中文网

nginx 实现国际与国密ssl无缝兼容的核心是客户端驱动的tls协商机制，依赖国密增强openssl（如tongsuo/gmssl）、正确编译配置、sm2证书及私钥、国密优先的套件与曲线设置（ssl_ecdh_curve sm2p256v1），单virtual host内即可完成双栈协商。

nginx 怎么在 nginx 中配置国际与国内双重国密 ssl 证书的无缝兼容调度

Nginx 实现国际与国密（SM2）SSL 证书的无缝兼容调度，核心不是“双证书并列加载”后靠 Nginx 自动分流，而是依赖客户端驱动的 TLS 协商机制——服务端提供多算法支持能力，由浏览器在 ClientHello 阶段声明支持的密码套件和椭圆曲线，Nginx（配合国密增强 OpenSSL）据此选择最优匹配路径。真正“无缝”的前提是底层密码库、编译配置、证书格式、协议套件四者协同。

以下为生产级可行的关键步骤：

必须使用国密增强版 OpenSSL 替代标准库
原生 OpenSSL 和官方 Nginx 完全不识别 SM2/SM3/SM4。你得选用：

✅ Tongsuo（蚂蚁开源，TLS 1.3 国密支持成熟，推荐首选）
✅ GMSSL（生态稳定，文档齐全，适合政务类项目）
验证方式：运行 tongsuo version 或 gmssl version，输出中需含 sm2、sm3、sm4；再执行 openssl ecparam -list_curves | grep sm2 应有回显。

编译 Nginx 时绑定国密 OpenSSL 路径
不能只装系统 OpenSSL。configure 必须指定：

./configure \
  --with-http_ssl_module \
  --with-openssl=/path/to/tongsuo \         # 关键！指向国密 OpenSSL 源码或安装目录
  --with-openssl-opt="enable-sm2 enable-sm3 enable-sm4"

编译后用 nginx -V 2>&1 | grep -i openssl 确认链接的是 Tongsuo/GMSSL，而非 /usr/lib64/libssl.so。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

单 virtual host 内启用双栈协商（非双 listen）
无需开两个 443 端口，也不用写两套 server 块。只需在同一个 server { ... } 中配置：

listen 443 ssl;
server_name example.com;

# 仅需一组证书：SM2 签名证书 + 对应 SM2 私钥（国密握手靠它驱动）
ssl_certificate      /etc/nginx/certs/sm2_fullchain.pem;   # 含 SM2 公钥，含中间 CA
ssl_certificate_key  /etc/nginx/certs/sm2.key;             # 必须是 SM2 格式私钥（非 RSA）

# 协议与套件：国密优先，国际兼容紧随其后
ssl_protocols        TLSv1.1 TLSv1.2 TLSv1.3;  # TLCP 对应 TLS 1.1，但建议保留 1.2/1.3 供国际客户端回退
ssl_ciphers          "TLS_SM4_SM3:ECDHE-SM4-SM3:SM4-SM3:ECDHE-ECDSA-AES128-GCM-SHA256:AES128-GCM-SHA256";
ssl_prefer_server_ciphers on;  # 强制服务端选套件，避免客户端低优套件干扰

# 曲线指定（关键！否则国密客户端协商失败）
ssl_ecdh_curve       sm2p256v1;

证书准备要满足国密合规性，不是简单拼两个 PEM

✅ 向 CFCA、沃通、DNSPod 国密版等具备商用密码资质的 CA 申请 SM2 签名证书（含完整证书链）
✅ 私钥必须用 openssl ecparam -name sm2p256v1 -genkey 生成，不可用 RSA 私钥混用
❌ 不需要额外配置 ssl_certificate_enc（仅金融网关等严格双证场景才用）
✅ 国际浏览器会自动跳过国密套件，协商 ECDHE-ECDSA-AES128-GCM-SHA256 等标准套件，前提是你的证书链也包含对应 RSA/ECC 公钥？不——实际中，一份 SM2 证书即可支撑双栈，因为现代国密 CA（如 CFCA）签发的 SM2 证书本身已内置双签信息（SM2 + SHA256-RSA 双签名），国际客户端可验证 RSA 签名部分，国密客户端验证 SM2 签名部分。

验证是否生效，不能只看语法检查

用国密浏览器（红莲花、360国密版）访问，F12 查看连接详情 → 显示“TLS_SM4_SM3”或“ECDHE-SM4-SM3”即成功
用 Chrome/Firefox 访问，抓包看 ClientHello 是否含 sm2p256v1 曲线 —— 不含是正常的，它会协商 AES-GCM 套件
日志检查：tail -f /var/log/nginx/error.log，出现 no suitable key share 或 no shared cipher 表示曲线或套件不匹配，重点查 ssl_ecdh_curve 和 ssl_ciphers 顺序

不复杂但容易忽略