4

我已经使用letsencrypt在ubuntu上为最新的nginx安装SSL证书。设置很好，效果很好，但以下情况除外：

在此处输入图像描述

我对 SSL 知之甚少，不知道发生了什么，但我有一个怀疑：我为 Apache 安装了 SSL 证书，而现在刚刚转移到 Nginx，因为它支持 http/2。由于 nginx 插件还不稳定，我不得不自己安装证书，这就是我所做的：

在我的 nginx 配置（/etc/nginx/conf/default.conf）中，我添加了：

server {
    listen       80;
    server_name  [domain];
    return 301   https://$host$request_uri;
}

server {
    listen       443 http2;
    listen       [::]:443 http2;
    server_name  [domain];

    ssl on;
    ssl_certificate /etc/letsencrypt/live/[domain]/cert.pem;
    ssl_certificate_key /etc/letsencrypt/live/[domain]/privkey.pem;
}

这有可能以某种方式打破链条吗？这里的正确方法是什么？

多谢你们

4

1 回答 1

6

1) 对于强大的 Diffie-Hellman 和避免 Logjam 攻击，请参阅这个很棒的手册。

您需要使用这些指令扩展您的 nginx 配置（在生成 dhparams.pem 文件之后）：

ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/nginx/ssl/dhparams.pem;

2) 对于正确的证书链，请使用 fullchain.pem，而不是 cert.pem，有关详细信息，请参阅这个很棒的教程。

你会得到A级:)

3）并作为奖励尝试这项伟大的服务：

“生成 Mozilla 安全推荐的 Web 服务器配置文件”。

于 2016-03-17T06:24:13.950 回答