如何配置Nginx使静态站点通过HTTPS服务？排查当前配置故障

针对你的Nginx配置和问题，常见排查点与解决方法如下：

• 检查证书文件格式与完整性
  你的ssl_certificate指向的文件/etc/nginx/ssl/site.com/site.com无后缀，通常证书应为.pem或.crt格式，且需包含完整证书链（服务器证书+中间证书）。若仅含服务器证书，浏览器可能无法验证信任链导致HTTPS失败。可尝试将证书重命名为site.com.pem，并确保文件内包含完整证书内容。

• 验证证书与私钥是否匹配
  用openssl命令检查证书和私钥的模数是否一致，确保两者配对：

  openssl x509 -noout -modulus -in /etc/nginx/ssl/site.com/site.com | openssl md5
  openssl rsa -noout -modulus -in /etc/nginx/ssl/site.com/myserver.key | openssl md5
  

  若输出的MD5值不同，说明证书与私钥不匹配，需重新获取配对的证书和密钥。

• 检查证书文件权限
  Nginx运行用户（通常为www-data或nginx）需拥有证书和密钥文件的读取权限，执行以下命令设置正确权限：

  chown -R www-data:www-data /etc/nginx/ssl/site.com/
  chmod 600 /etc/nginx/ssl/site.com/myserver.key
  chmod 644 /etc/nginx/ssl/site.com/site.com
  

• 测试Nginx配置语法
  执行nginx -t检查配置是否存在语法错误，若有错误根据提示修正后重启Nginx：

  nginx -t
  systemctl restart nginx
  

• 确认443端口已开放
  检查服务器防火墙（如ufw、iptables）或云服务商安全组规则，确保443端口允许入站访问。例如用ufw开放端口：

  ufw allow 443/tcp
  ufw reload
  

• 补充SSL协议与密码套件配置
  当前配置缺少SSL协议和密码套件的明确设置，可能导致现代浏览器拒绝连接，可在配置中添加：

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
  

内容的提问来源于stack exchange，提问作者Santiago Gonzalez