Nginx配置HTTPS获得A+评分

xlaptx

添加Nginx的源（nginx1.9.5以上版本自带HTTP2，不用编译）

1. vi /etc/apt/sources.list  （添加下面两行）
   
2. deb http://nginx.org/packages/mainline/debian/ jessie nginx
   
3. deb-src http://nginx.org/packages/mainline/debian/ jessie nginx   （保存退出）
   
4. wget http://nginx.org/keys/nginx_signing.key
   
5. apt-key add nginx_signing.key

复制代码

安装Nginx

1. apt-get update
   
2. apt-get upgrade
   
3. apt-get install nginx

复制代码

为了安全获得A+评分需要增加Diffie-Hellman参数

1. openssl dhparam -out dhparam.pem 2048  （4096也行，等待时间可能稍长）

复制代码

配置文件如下

1. server {
   
2.     listen 80;
   
3.     server_name blog.tse.moe;  （修改为自己域名）
   
4.     return 301 https://blog.tse.moe$request_uri;   （修改为自己域名）
   
5. }     
   
6. 
   
7. server {
   
8.     listen 443 ssl http2;   （启用HTTP2）
   
9.     server_name blog.tse.moe;    （修改为自己域名）
   
10.     ssl_certificate /etc/nginx/ssl/xxx.crt;      （证书保存路径）
    
11.     ssl_certificate_key /etc/nginx/ssl/xxx.key;  （证书保存路径）
    
12.     ssl_dhparam /etc/nginx/ssl/dhparam.pem;      （证书保存路径）
    
13.     ssl_session_cache shared:SSL:10m;
    
14.     ssl_session_timeout 10m;
    
15.     ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    
16.     ssl_stapling on;
    
17.     ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA";
    
18.     ssl_prefer_server_ciphers on;
    
19.     add_header Strict-Transport-Security max-age=15768000;  （开启HSTS ，非全站HTTPS删掉此行）
    
20.     resolver 8.8.8.8 8.8.4.4 valid=300s;
    
21.     resolver_timeout 5s;

复制代码

测试地址https://www.ssllabs.com/ssltest/

小樱

xlaptx

好像没红叉啊0.0

不可名

签到顺便帮顶