Debian 12 VPS上Nginx+SSL+子域代理NodeJS表单服务配置问题

问题背景 #

在Debian 12 VPS上搭建网站：

• domain.com 由Nginx托管静态文件
• 表单POST请求提交到form.domain.com，由Node/Express+Nodemailer服务处理
• HTTP环境下Nginx反向代理到Node 3000端口完全正常，但配置Certbot SSL后出现问题：
  1. 尝试让Node直接读取Let's Encrypt证书时，出现权限拒绝错误，调整权限无效
  2. 之前尝试过单server块代理domain.com/form失败；拆分两个配置文件在HTTP下正常，但配置SSL后表单提交报错

推荐方案：Nginx作为SSL终结点（避免Node直接操作证书） #

最稳妥的方式是让Nginx处理所有SSL加密/解密，Node只运行HTTP服务监听本地端口，既避免权限问题，也更安全易维护。

1. 修改Node服务代码 #

删掉所有HTTPS相关代码，只保留HTTP服务监听localhost:3000（仅限本地访问，更安全）：

const http = require('http');
const express = require('express');
const app = express();

// 你的Express路由、Nodemailer配置等逻辑...

// 只启动HTTP服务，监听本地3000端口
const httpServer = http.createServer(app);
httpServer.listen(3000, 'localhost', () => {
  console.log('Node服务已启动，监听localhost:3000');
});

2. 配置Nginx SSL站点 #

domain.com 配置文件（/etc/nginx/sites-available/domain.conf）

server {
    listen 80;
    server_name domain.com www.domain.com;
    # HTTP自动跳转到HTTPS
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl http2;
    server_name domain.com www.domain.com;

    # Certbot生成的SSL证书路径
    ssl_certificate /etc/letsencrypt/live/domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    # 静态文件根目录，替换为你实际的路径
    root /var/www/domain.com;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }
}

form.domain.com 配置文件（/etc/nginx/sites-available/form.conf）

server {
    listen 80;
    server_name form.domain.com;
    return 301 https://$server_name$request_uri;
}

server {
    listen 443 ssl http2;
    server_name form.domain.com;

    ssl_certificate /etc/letsencrypt/live/form.domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/form.domain.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

    # 反向代理到本地Node服务
    location / {
        proxy_pass http://localhost:3000;
        # 传递必要的请求头
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. 启用配置并重启服务 #

# 将配置文件软链接到启用目录
sudo ln -s /etc/nginx/sites-available/domain.conf /etc/nginx/sites-enabled/
sudo ln -s /etc/nginx/sites-available/form.conf /etc/nginx/sites-enabled/

# 检查Nginx配置语法是否正确
sudo nginx -t

# 重启Nginx和Node服务
sudo systemctl restart nginx
# 假设你的Node服务用systemd管理，服务名为form-service，根据实际情况修改
sudo systemctl restart form-service

权限问题应急解决办法（不推荐直接让Node读证书） #

如果一定要让Node直接使用SSL证书，可按以下步骤解决权限问题：

1. 将Node运行用户加入ssl-cert组（Let's Encrypt证书目录的默认组）：

sudo usermod -aG ssl-cert your-node-username

2. 调整证书目录和文件的权限，允许组读取：

sudo chmod 750 /etc/letsencrypt/live/form.domain.com/
sudo chmod 640 /etc/letsencrypt/live/form.domain.com/*.pem

3. 重启Node服务，让用户组变更生效。

但此方案会让Node进程拥有证书读取权限，存在安全风险，优先推荐Nginx代理的方案。

内容的提问来源于stack exchange，提问作者wingaught