回归基础：使用SSL/TLS和NGINX加密Web流量

NGINX | 2023年1月26日

互联网恶意行为者似乎总能凭借执着和狡猾的手段不断突破边界。几乎每天都有新的网络入侵、数据窃取或勒索软件攻击事件登上新闻头条。这些事件可能造成灾难性后果，因此，保护Web资产和流量免遭黑客侵害变得愈发重要。

作为互联网流量的主要类型之一，浏览器与网站之间的HTTP流量自然也会遭受这些攻击。保护HTTP流量免遭窃听和篡改的一种基本方法是使用传输层安全（TLS）协议对其进行加密。加密后的流量准确来说称为HTTPS流量，其中S代表安全，但在大多数情况下，通常直接使用HTTP来统称这两种流量。

可通过查看URL判断网站是否支持加密：

以https://开头的URL使用加密连接
以http://开头的URL未加密

使用加密连接时，许多浏览器还会在地址栏左端显示挂锁图标。

注意：TLS的前身安全套接字层（SSL）现已弃用，但尽管存在安全弱点，仍然相当常用。同样，在指代HTTP流量加密时，经常使用术语“SSL”（或“SSL/TLS”），即使实际使用的是TLS。

SSL/TLS与NGINX

下面通过一些指令，快速了解NGINX中的SSL/TLS加密。NGINX的基本HTTPS配置非常简单：

server {    listen              443 ssl;
    server_name         www.example.com;
    ssl_certificate     www.example.com.crt;
    ssl_certificate_key www.example.com.key;
    ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers         HIGH:!aNULL:!MD5;
    #...
}

The listen指令指示NGINX在端口 443 上侦听发往指定域名的HTTPS流量（由ssl参数指定）。该域名由server_name指令指定（此处为www.example.com）。

The ssl_certificate和ssl_certificate_key指令指定用于存储该域名的TLS证书和密钥的文件。ssl_protocols和ssl_ciphers指令分别指定此NGINX虚拟服务器支持的SSL/TLS版本和密码套件（加密算法）。配置这些指令后，NGINX会与客户端协商建立安全连接，并提供经证书验证的HTTPS内容。