上一篇
阿里云服务器部署SSL证书是指在阿里云ECS等云服务器上安装并配置由证书机构颁发的SSL/TLS证书,使网站支持HTTPS加密访问的过程。
环境准备与证书获取
在阿里云服务器上部署SSL证书前，需要确认服务器操作系统版本、Web服务器类型及版本，常见环境包括CentOS 7/8、Ubuntu 20.04/22.04、Alibaba Cloud Linux等，Web服务器以Nginx和Apache为主，部分业务使用Tomcat或IIS，证书文件通常包含公钥证书文件（.pem或.crt）和私钥文件（.key），如果使用阿里云SSL证书服务，可以在控制台申请免费证书或付费证书，免费证书有效期通常为3个月，付费证书可申请1年或更长，证书签发后，在证书列表点击“下载”，选择对应的服务器类型，例如Nginx、Apache、Tomcat、IIS等，下载得到一个压缩包，里面包含证书文件和私钥文件，下载后需要将证书文件上传到服务器，可以使用scp命令、SFTP工具或阿里云控制台的文件上传功能，建议将证书存放在统一目录，例如/etc/ssl/certs/存放公钥证书，/etc/ssl/private/存放私钥文件，并设置私钥权限为600,防止其他用户读取。
Nginx服务器部署SSL证书
Nginx是阿里云服务器上使用最广泛的Web服务器之一，部署SSL证书的核心是修改Nginx配置，指定证书路径并启用443端口监听，首先找到Nginx配置文件，常见路径为/etc/nginx/nginx.conf或/etc/nginx/conf.d/目录下的站点配置文件，打开对应的站点配置文件,在server块中添加或修改以下内容：
server{
listen443ssl;
server_nameyourdomain.com;
ssl_certificate/etc/ssl/certs/yourdomain.crt;
ssl_certificate_key/etc/ssl/private/yourdomain.key;
ssl_protocolsTLSv1.2TLSv1.3;
ssl_ciphersHIGH:!aNULL:!MD5;
ssl_prefer_server_cipherson;
location/{
root/usr/share/nginx/html;
indexindex.htmlindex.htm;
}
}配置中listen 443 ssl表示监听HTTPS默认端口，server_name填写域名，需要与证书绑定的域名一致。ssl_certificate和ssl_certificate_key分别指定证书公钥和私钥的绝对路径。ssl_protocols建议只开启TLSv1.2和TLSv1.3，关闭不安全的SSLv2、SSLv3和TLSv1.0、TLSv1.1。ssl_ciphers指定加密套件，可以按需调整，配置完成后，先执行nginx -t检查语法是否正确，如果显示syntax is ok和test is successful，再执行systemctl reload nginx或nginx -s reload重载配置，重载后通过netstat -tlnp | grep 443或ss -tlnp | grep 443确认443端口已监听，使用浏览器访问https://yourdomain.com，如果出现锁标志且证书信息正确,说明部署成功。
若要让HTTP自动跳转到HTTPS，可以在Nginx配置中增加一个80端口的server块,将所有HTTP请求重定向到HTTPS：
server{
listen80;
server_nameyourdomain.com;
return301https://$host$request_uri;
}这样用户访问http://yourdomain.com时会自动跳转到https://yourdomain.com，避免混合内容问题，对于阿里云负载均衡SLB或CDN场景，证书可以部署在负载均衡或CDN控制台，无需在每台ECS上重复配置，证书上传到SLB后，SLB与后端ECS之间可以使用HTTP协议，也可以使用HTTPS协议进行回源，如果使用SLB，需要在SLB监听中配置证书，并将后端服务器组协议设置为HTTP或HTTPS，此时ECS上不需要安装证书,SLB负责SSL卸载和加密。
Apache服务器部署SSL证书
Apache部署SSL证书需要启用mod_ssl模块，并修改虚拟主机配置，首先确认Apache已安装mod_ssl，执行httpd -M | grep ssl或apache2ctl -M | grep ssl查看，如果未安装，CentOS系统执行yum install mod_ssl -y，Ubuntu系统执行a2enmod ssl并重启Apache，证书文件上传后，编辑Apache的SSL配置文件，通常为/etc/httpd/conf.d/ssl.conf或/etc/apache2/sites-available/default-ssl.conf，在<VirtualHost _default_:443>块中配置：
<VirtualHost*:443> ServerNameyourdomain.com DocumentRoot/var/www/html SSLEngineon SSLCertificateFile/etc/ssl/certs/yourdomain.crt SSLCertificateKeyFile/etc/ssl/private/yourdomain.key SSLCertificateChainFile/etc/ssl/certs/chain.crt <Directory/var/www/html> OptionsIndexesFollowSymLinks AllowOverrideAll Requireallgranted </Directory> </VirtualHost>
其中SSLEngine on开启SSL引擎，SSLCertificateFile指定证书文件，SSLCertificateKeyFile指定私钥文件，SSLCertificateChainFile指定中间证书文件，如果证书压缩包中包含链文件，需要正确配置，否则部分浏览器会提示证书不受信任，配置完成后，执行apachectl configtest或httpd -t检查配置，通过后执行systemctl reload httpd或systemctl reload apache2重载服务，若需要HTTP跳转HTTPS,可以在80端口虚拟主机中添加：
<VirtualHost*:80> ServerNameyourdomain.com Redirectpermanent/https://yourdomain.com/ </VirtualHost>
或者使用.htaccess文件实现跳转，但需要开启AllowOverride All,Apache部署后同样需要验证443端口监听和HTTPS访问是否正常。
Tomcat服务器部署SSL证书
Tomcat部署SSL证书通常使用JKS或PKCS12格式的证书库，阿里云下载的Tomcat证书通常包含PFX格式和密码文件，需要将PFX转换为JKS或直接使用PFX配置，Tomcat配置文件为conf/server.xml，找到<Connector port="8443"部分,取消注释并修改：
<Connectorport="443"protocol="org.apache.coyote.http11.Http11NioProtocol" maxThreads="150"SSLEnabled="true"scheme="https"secure="true" keystoreFile="/etc/ssl/certs/yourdomain.pfx" keystorePass="your_password" clientAuth="false"sslProtocol="TLS"/>
keystoreFile指定PFX证书库路径，keystorePass指定证书密码，密码在下载的证书压缩包中的pfx-password.txt文件内。clientAuth设置为false表示不要求客户端证书，修改后保存文件，重启Tomcat服务，执行./bin/shutdown.sh和./bin/startup.sh，或者使用systemctl restart tomcat，Tomcat默认使用8443端口，如果需要使用443端口，需要确保以root用户运行或配置端口转发，也可以保持8443端口，通过Nginx反向代理实现443端口对外服务，验证时访问https://yourdomain.com:8443或https://yourdomain.com（如果做了代理）。
常见问题与处理
部署SSL证书过程中常见问题包括证书链不完整、私钥不匹配、端口被占用、防火墙未放行等，证书链不完整时浏览器会提示“此证书不受信任”或“证书链缺少中间证书”，解决方法是将中间证书文件合并到证书文件中，或检查SSLCertificateChainFile是否配置正确，私钥不匹配通常是因为下载的证书与私钥文件不是同一套，需要重新下载或生成CSR时保留私钥，端口被占用可以通过lsof -i:443或netstat -tlnp | grep 443排查，如果是其他进程占用，需要停止或修改端口，防火墙未放行443端口时，外部无法访问HTTPS，需要在阿里云安全组规则中添加入方向443端口，并在服务器内部防火墙开放443，例如firewall-cmd --permanent --add-port=443/tcp和firewall-cmd --reload，证书到期后需要及时续期，免费证书可以手动重新申请并下载部署，也可以使用阿里云提供的证书托管和自动续期功能，付费证书到期前阿里云会发送提醒，续费后重新下载证书并替换服务器上的文件，重载服务即可，验证证书是否生效可以使用openssl s_client -connect yourdomain.com:443 -servername yourdomain.com命令查看证书链和有效期,或者使用在线SSL检测工具检查证书链完整性和协议支持情况。
安全加固建议
部署SSL证书后，建议同时进行安全加固，关闭不安全的SSL协议和弱加密套件，仅启用TLSv1.2和TLSv1.3，并在服务端配置中明确加密套件优先级，可以开启HSTS（HTTP严格传输安全），在Nginx中添加add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;，在Apache中添加Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"，强制浏览器只使用HTTPS访问，对于需要更高安全性的场景，可以配置OCSP Stapling，在Nginx中添加ssl_stapling on; ssl_stapling_verify on;并指定DNS解析器，证书私钥文件权限应设置为600，防止被其他用户读取，定期检查证书有效期，设置自动提醒或使用监控工具监测证书到期时间，如果服务器上有多个站点，可以使用SNI技术在同一IP上部署多个SSL证书，只需在Nginx的多个server块中分别配置不同的证书路径和server_name即可，阿里云服务器还可以结合WAF、CDN等产品，将证书部署在边缘节点，源站仅允许来自WAF或CDN的回源IP访问80端口,进一步提升安全性和性能。
下一篇
