一、SSL证书准备阶段

在开始配置前，您需要准备以下内容：

• 云服务器实例：已安装Linux系统（推荐Ubuntu/CentOS）
• 域名控制权：能够修改DNS解析记录
• 终端访问权限：SSH登录凭证

1.1 证书获取方式对比

证书类型	有效期	适用场景
Let’s Encrypt（免费）	90天	个人博客、测试环境
商业证书（付费）	1-2年	企业官网、电商平台

二、Certbot自动化部署（Let’s Encrypt）

2.1 环境准备

# Ubuntu/Debian
sudo apt update
sudo apt install certbot python3-certbot-nginx

# CentOS/RHEL
sudo yum install epel-release
sudo yum install certbot python3-certbot-nginx

2.2 证书申请

执行以下命令（替换yourdomain.com为实际域名）：

sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

交互式过程中需要：

1. 输入管理员邮箱
2. 同意服务条款
3. 选择是否订阅邮件通知

2.3 自动续期配置

添加定时任务：

sudo crontab -e
# 添加以下内容（每月1号凌晨3点检查续期）
0 3 1 * * /usr/bin/certbot renew --quiet

三、手动证书配置（适用于商业证书）

3.1 证书文件上传

将获得的证书文件上传至服务器：

scp yourdomain.crt user@server:/etc/ssl/certs/
scp yourdomain.key user@server:/etc/ssl/private/

3.2 Nginx配置示例

server {
    listen 443 ssl;
    server_name yourdomain.com;
    
    ssl_certificate /etc/ssl/certs/yourdomain.crt;
    ssl_certificate_key /etc/ssl/private/yourdomain.key;
    
    # 安全增强配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    
    # 其他配置...
}

3.3 强制HTTPS跳转

在Nginx配置中添加：

server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;
}

四、安全加固与测试

4.1 防火墙配置

# 开放443端口
sudo ufw allow 443/tcp
sudo ufw reload

4.2 在线检测工具

• SSL Labs测试
• 安全头检测