Linux怎么配置Nginx的SSLTLS安全等级

随着https协议的全面普及，ssl/tls的安全等级不仅决定了站点传输数据的加密安全性，还会直接影响ssl安全测试评分、浏览器信任标识以及站点搜索引擎排名，不少站长在完成https基础部署后，往往忽略了nginx端ssl/tls安全等级的优化，导致站点存在加密降级攻击、弱加密算法漏洞等风险，还无法拿到合格的安全评级，接下来就详细介绍linux环境下配置nginx ssl/tls安全等级的具体步骤。

linux怎么配置nginx的ssl/tls安全等级

1. 确认nginx配置文件路径

linux系统中nginx的配置文件默认存放路径为/etc/nginx/，主配置文件为nginx.conf，单个站点的独立配置一般存放在/etc/nginx/conf.d/或/etc/nginx/sites-available/目录下，可执行命令nginx -t，从输出信息中确认需要修改的目标站点配置文件路径，避免改错配置。

2. 禁用弱ssl/tls协议版本

打开目标站点的nginx配置文件，在https对应的server块中修改协议配置，淘汰已经被破解证明不安全的sslv3、tlsv1.0、tlsv1.1协议，仅保留安全的tlsv1.2和tlsv1.3协议，具体配置规则为：ssl_protocols tlsv1.2 tlsv1.3;，该配置可以规避poodle、beast、crime等多个经典加密漏洞。

3. 配置安全加密套件

淘汰包含rsa、des、3des等弱加密算法的套件，只保留符合当前安全标准的加密套件，通用推荐配置为：ssl_ciphers ecdhe-ecdsa-aes128-gcm-sha256:ecdhe-rsa-aes128-gcm-sha256:ecdhe-ecdsa-aes256-gcm-sha384:ecdhe-rsa-aes256-gcm-sha384:ecdhe-ecdsa-chacha20-poly1305:ecdhe-rsa-chacha20-poly1305:dhe-rsa-aes128-gcm-sha256:dhe-rsa-aes256-gcm-sha384;，同时添加配置ssl_prefer_server_ciphers on;，让服务端优先选择更安全的加密套件。

4. 添加安全增强配置

添加ssl_session_cache shared:ssl:10m;优化ssl握手性能，添加ssl_session_timeout 1d;设置合理的会话超时时间，同时开启hsts响应头防范ssl降级攻击，配置为add_header strict-transport-security "max-age=31536000; includesubdomains" always;。

5. 生效配置并验证等级

修改完成后执行nginx -t检查配置语法，确认无误后执行systemctl reload nginx重载配置，之后可通过ssl labs在线工具测试站点的ssl/tls安全等级，按上述规范配置后一般可获得a及以上的优质安全评级。