LNMP升级nginx后遇到SSL错误怎么办

在进行lnmp（linux, nginx, mysql, php）环境部署或升级时，可能会遇到nginx升级至1.16.0版本后出现ssl证书配置错误的问题。本文将详细解释该问题的原因，并提供相应的解决方案，帮助您顺利完成升级并确保网站安全稳定运行。

问题现象

当您尝试访问使用https协议的网站时，浏览器可能会弹出“无法连接到网站”、“此网站的安全证书有问题”等警告信息。通过查看nginx错误日志，您可能会发现类似以下的报错信息：

```

[error] 12340: *5 ssl_do_handshake() failed (ssl: error:1416f086:ssl routines:tls_process_server_certificate:certificate verify failed) while ssl handshaking, client: 192.168.1.1, server: 0.0.0.0:443

```

原因分析

上述错误通常是由以下几个方面引起的：

1. 证书格式不兼容：nginx 1.16.0版本对ssl/tls协议的支持进行了更新，可能要求更严格的证书格式。

2. 中间人攻击防护：新版本nginx加强了对中间人攻击的防护机制，可能导致与某些旧版客户端的兼容性问题。

3. 配置文件未正确更新：升级过程中，如果未同步更新相关ssl配置参数，也可能导致此类问题发生。

解决方案

针对以上可能的原因，您可以按照如下步骤逐一排查并解决问题：

1. 检查证书文件：

- 确认您的ssl证书文件（包括证书链文件和私钥文件）均采用正确的格式（如pem格式）。若有必要，请联系证书提供商重新下载证书文件。

- 使用`openssl`工具验证证书链的有效性，例如：

```

openssl s_client -connect example.com:443 -showcerts

```

2. 调整nginx配置：

- 打开nginx配置文件（通常位于`/etc/nginx/nginx.conf`或`/etc/nginx/sites-available/default`），查找与ssl相关的配置项。

- 确保包含以下基本配置：

```nginx

ssl_protocols tlsv1.2 tlsv1.3;

ssl_ciphers high:!anull:!md5;

ssl_prefer_server_ciphers on;

ssl_session_cache shared:ssl:10m;

ssl_session_timeout 10m;

```

- 如果您之前没有启用ocsp stapling功能，可以考虑添加以下配置以提升性能和安全性：

```nginx

ssl_stapling on;

ssl_stapling_verify on;

resolver 8.8.8.8 8.8.4.4 valid=300s;

resolver_timeout 5s;

```

3. 重启nginx服务：

- 完成上述修改后，执行命令重启nginx服务，使配置生效：

```

systemctl restart nginx

```

4. 测试连接：

- 在完成所有配置更改并重启服务之后，再次尝试访问您的网站，确认问题是否已解决。

- 可以使用在线ssl测试工具（如qualys ssl labs提供的ssl测试）进一步检测您的ssl配置是否符合最佳实践。

总结

通过本文介绍的方法，相信您已经能够顺利解决lnmp环境下升级nginx至1.16.0版本后遇到的ssl报错问题。请记得定期检查和更新您的ssl证书及nginx配置，以确保网站始终处于最佳安全状态。