一、TLS1.2与TLS1.3核心版本差异TLS是HTTPS加密通信的核心TLS1.3在TLS1.2基础上做了握手流程、加密算法、安全机制的深度优化是当前生产环境的首选版本两者核心差异如下对比维度TLS1.2TLS1.3核心优化价值握手时延2次RTT客户端-服务器四次交互1次RTT支持0-RTT会话恢复大幅缩短连接建立时间适配高时延/移动端网络加密算法支持含弱算法SHA-1、3DES算法协商复杂移除所有弱算法仅保留安全算法AES-GCM、ChaCha20-Poly1305等规避安全风险减少算法协商开销密钥协商支持RSA/ECDHE协商在握手后期完成仅支持ECDHE椭圆曲线算法协商与握手同步密钥生成更快、长度更短安全强度更高握手加密部分握手数据密钥协商参数明文传输全程握手数据加密防止握手信息被窃取分析提升整体安全性0-RTT支持不支持原生支持二次连接无需握手直接传输数据提升访问速度服务器兼容性全版本兼容老旧服务器可用Nginx1.13.0/Apache2.4.36支持牺牲少量老旧兼容换取性能与安全握手流程图核心总结生产环境优先启用「TLS1.3向下兼容TLS1.2」彻底禁用TLS1.0/TLS1.1等不安全版本兼顾性能、安全与基础兼容性。二、自签名证书与权威CA证书核心区别HTTPS证书是身份认证和密钥分发的核心按颁发主体可分为两类适用场景、信任度、配置方式差异显著核心区别如下对比维度自签名证书权威CA证书阿里云/Let’s Encrypt颁发主体本地通过OpenSSL生成无第三方认证受浏览器/操作系统信任的权威机构需身份审核浏览器信任默认不信任弹出安全警告默认信任地址栏显示安全小锁无警告适用场景本地测试、内网服务、Redfish硬件接口测试生产环境、公网服务、对外接口/网站生成/申请方式免费本地命令生成即时可用免费/付费权威平台申请需域名/企业审核有效期可自定义1/3/5年免费证书90天付费证书1-3年到期需续签安全性加密强度与CA一致仅无第三方身份认证加密强度高第三方身份认证防止域名伪造配置复杂度简单生成后直接部署需下载证书链/公钥/私钥按服务器规范部署核心总结自签名证书适合「测试/内网场景」免费便捷但无第三方信任权威CA证书为「生产/公网场景」必选阿里云提供免费单域名CA证书可满足基础需求。三、HTTPS性能优化核心手段HTTPS因加密/解密、证书验证存在少量性能开销以下为可直接落地的优化手段按优先级排序兼顾安全性与实用性协议层优化启用TLS1.3TLS1.2彻底禁用TLS1.0/TLS1.1及以下版本减少协议协商冗余规避安全风险。会话复用优化开启「会话ID会话票据」缓存会话信息默认1天单服务器用会话ID集群场景用会话票据避免重复握手。算法优化优先使用ECDHE椭圆曲线算法替代传统RSA算法密钥生成速度快、长度更短加密/解密效率提升30%以上。连接优化开启HTTP/2实现单连接多路复用同时配置TCP长连接keepalive_timeout65s减少TCP连接建立开销。证书优化确保证书链完整开启OCSP装订减少浏览器证书验证的网络请求缩短页面加载时间。缓存优化开启Nginx SSL缓存建议10M容量缓存证书验证和会话信息减少重复计算开销。四、前置准备通用操作无论部署自签名证书还是权威CA证书需先完成以下前置操作确保环境合规验证Nginx版本需1.13.0支持TLS1.3执行命令验证nginx -v版本过低需升级。验证OpenSSL工具Linux系统默认自带执行命令验证openssl version缺失需安装yum install openssl -y/apt install openssl -y。创建证书目录统一管理证书文件避免配置混乱执行命令# 创建证书目录Linux推荐路径 mkdir -p /usr/local/nginx/ssl # 赋予目录权限防止权限不足 chmod 755 /usr/local/nginx/ssl五、实操1自签名证书生成 Nginx HTTPS配置测试/内网5.1 一键生成自签名证书OpenSSL脚本进入证书目录执行以下命令替换「CN」后为服务器IP/内网域名即时生成有效期365天无需审核# 进入证书目录cd/usr/local/nginx/ssl# 生成RSA算法证书通用型兼容性强openssl req -x509 -nodes -days365-newkey rsa:2048 -keyout server.key -out server.crt\-subj/CCN/STXX省/LXX市/OXX公司/CN192.168.1.100# CN替换为服务器IP/内网域名# 可选生成ECC椭圆曲线证书性能更优推荐openssl ecparam -genkey -name secp256r1 -out server-ecc.key openssl req -x509 -nodes -days365-key server-ecc.key -out server-ecc.crt\-subj/CCN/STXX省/LXX市/OXX公司/CN192.168.1.100生成文件说明server.key服务器私钥切勿泄露、server.crtRSA证书公钥ECC算法对应server-ecc.key/crt。5.2 Nginx HTTPS完整配置脚本集成性能优化编辑Nginx主配置文件默认路径/usr/local/nginx/conf/nginx.conf 或 /etc/nginx/nginx.conf替换服务器IP/域名直接复制使用# 全局HTTPS性能优化配置添加到http{}外或http{}开头 ssl_protocols TLSv1.2 TLSv1.3; # 仅启用安全版本 ssl_prefer_server_ciphers on; # 优先使用服务器端加密算法 # 高效安全的加密算法套件适配TLS1.2/1.3 ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305; ssl_session_timeout 1d; # 会话超时时间1天 ssl_session_cache shared:SSL:10m; # 开启SSL缓存10M容量 ssl_session_tickets on; # 开启会话票据适配集群场景 ssl_stapling on; # 开启OCSP装订减少证书验证耗时 ssl_stapling_verify on; # 验证OCSP装订信息 http { include mime.types; default_type application/octet-stream; sendfile on; keepalive_timeout 65; # TCP长连接超时时间 # HTTPS核心服务配置 server { listen 443 ssl http2; # 开启HTTP/2提升并发性能 server_name 192.168.1.100; # 替换为服务器IP/内网域名 # 配置自签名证书路径RSA版本 ssl_certificate /usr/local/nginx/ssl/server.crt; ssl_certificate_key /usr/local/nginx/ssl/server.key; # 若使用ECC证书替换为以下两行 # ssl_certificate /usr/local/nginx/ssl/server-ecc.crt; # ssl_certificate_key /usr/local/nginx/ssl/server-ecc.key; # 测试页面配置验证HTTPS是否生效 location / { root html; index index.html index.htm; } } # 可选HTTP强制重定向到HTTPS推荐开启 server { listen 80; server_name 192.168.1.100; # 与HTTPS的server_name保持一致 rewrite ^(.*)$ https://$host$1 permanent; # 301永久重定向保留SEO权重 } }5.3 配置验证与Nginx重启配置完成后先验证语法正确性无报错再重启Nginx避免服务异常# 验证Nginx配置语法核心步骤必须执行nginx -t# 若提示「nginx: configuration file /xxx/nginx.conf test is successful」则无问题# 重启Nginx使配置生效nginx -s reload5.4 验证效果浏览器验证访问「https://服务器IP/内网域名」忽略安全警告后可正常加载页面。终端验证执行curl -k https://服务器IP-k参数跳过自签名证书验证返回页面HTML内容即生效。TLS版本验证执行curl -k -v https://服务器IP 21 | grep TLS version显示TLS1.3或TLS1.2即配置成功。六、实操2阿里云权威CA证书 Nginx HTTPS配置生产/公网6.1 阿里云免费CA证书申请与下载登录阿里云SSL证书控制台https://yundun.aliyun.com/ssl点击「购买证书」选择「免费版Let’s Encrypt」填写已备案的域名无备案域名无法使用公网CA证书。完成域名验证选择「DNS验证」或「文件验证」阿里云解析用户可选择自动验证无需手动操作。审核通过后通常10分钟内点击「下载证书」选择「Nginx」版本下载得到压缩包包含3个核心文件xxx.pem公钥证书链、xxx.key私钥、xxx_chain.pem证书链。6.2 上传证书到服务器将下载的pem和key文件上传到服务器的Nginx证书目录/usr/local/nginx/ssl推荐使用scp命令上传本地→服务器# 本地终端执行替换括号内信息scp本地证书路径/xxx.pem 服务器用户名服务器公网IP:/usr/local/nginx/ssl/scp本地证书路径/xxx.key 服务器用户名服务器公网IP:/usr/local/nginx/ssl/6.3 Nginx CA证书配置脚本直接复制与自签名证书配置逻辑一致仅修改证书路径和备案域名性能优化项完全复用配置脚本如下# 全局HTTPS性能优化配置与自签名证书一致无需修改 ssl_protocols TLSv1.2 TLSv1.3; ssl_prefer_server_ciphers on; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305; ssl_session_timeout 1d; ssl_session_cache shared:SSL:10m; ssl_session_tickets on; ssl_stapling on; ssl_stapling_verify on; http { include mime.types; default_type application/octet-stream; sendfile on; keepalive_timeout 65; # HTTPS生产服务配置 server { listen 443 ssl http2; server_name www.xxx.com; # 替换为你的备案域名 # 配置阿里云CA证书路径替换为实际文件名 ssl_certificate /usr/local/nginx/ssl/xxx.pem; # 公钥证书链 ssl_certificate_key /usr/local/nginx/ssl/xxx.key; # 私钥 # 业务页面配置按实际需求调整root路径 location / { root html; index index.html index.htm; } } # 强制HTTP重定向到HTTPS生产环境必开 server { listen 80; server_name www.xxx.com; # 与HTTPS的server_name一致 rewrite ^(.*)$ https://$host$1 permanent; } }6.4 配置验证与重启# 验证配置语法nginx -t# 重启Nginx生效nginx -s reload6.5 验证效果浏览器验证访问「https://你的备案域名」地址栏显示安全小锁无任何警告页面正常加载。终端验证执行curl https://你的备案域名无需-k参数返回页面内容即生效。第三方检测访问SSL Labs Server Testhttps://www.ssllabs.com/ssltest/输入域名检测评分达到A即为合规配置。