星哥的博客

  • 首页
  • 系统
  • 虚拟机
  • 网站开发
  • 硬件外设
  • VPS/云主机
  • 心情随笔
  1. 首页
  2. 网站开发
  3. Nginx
  4. 正文

Nginx SSL性能优化参数

2015年5月10日 3818点热度 2人点赞 0条评论

网上比较好的一份SSL优化参数,记录下:

Nginx SSL优化代码

ssl on;
ssl_certificate /data/www/ssl/ssl.crt;
ssl_certificate_key /data/www/ssl/ssl.key;
ssl_trusted_certificate /data/www/ssl/trustchain.crt;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;
add_header Strict-Transport-Security "max-age=31536000";
resolver 223.5.5.5 223.6.6.6 valid=300s;
resolver_timeout 10s;

error_page 497 https://$host$request_uri;

生成dhparam.pem

我们需要生成一个更强壮的 DHE 参数:

cd /etc/ssl/certs
openssl dhparam -out dhparam.pem 4096

然后告诉 nginx 将其用作 DHE 密钥交换:

ssl_dhparam /etc/ssl/certs/dhparam.pem;

参数详解:

ssl on  开启SSL
ssl_certificate  对应单张证书
ssl_certificate_key  对应私钥
ssl_trusted_certificate  对应信任链(即Startcom SSL或者Positive SSL中需要附加到单张证书后面的那两张证书,可以独立出来)
ssl_protocols  支持的SSL协议标准(nginx默认参数为:ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2;)
ssl_ciphers  (nginx默认参数为:ssl_ciphers HIGH:!aNULL:!MD5;)

error_page 497 https://$host$request_uri;  通过497错误将http转跳到https

参考了这两个链接:

《Optimizing HTTPS on Nginx - {bjørn:johansen}》
《Nginx Performance Tuning for SSL - Tech Samurais》
《增强 nginx 的 SSL 安全性》

Mozilla SSL Configuration Generator

另外,当你配置好SSL之后,可以去这个站点进行测试,看看还有没有什么的地方可以优化的

SSL 配置检查工具-配置SSL变得容易

SSL Labs 测试

标签: 暂无
最后更新:2017年4月19日

wangxingcs

这个人很懒,什么都没留下

点赞
< 上一篇

文章评论

取消回复

此站点使用Akismet来减少垃圾评论。了解我们如何处理您的评论数据。

wangxingcs

这个人很懒,什么都没留下

我的博客

仅记录一些有用的教程,自己的经历,已屏蔽各大搜索引擎收录。

新浪微博 @wangxingcs

Twitter @wangxingcs(常在)

最新 热点 随机
最新 热点 随机
Proxmox VE(PVE)6.X 添加硬盘 PVE解决VM is locked问题 Proxmox VE配置更新源 黑群晖显示真实CPU信息(支持7.0.1) Proxmox VE直通硬盘(全盘映射方式) PVE去除“没有有效订阅”提示
Proxmox VE(PVE)6.X 添加硬盘黑群晖显示真实CPU信息(支持7.0.1)Proxmox VE直通硬盘(全盘映射方式)Proxmox VE 6.1/6.2 U盘安装教程测试下WordPress手机端APPProxmoxVE添加E1000e网卡(可升级群晖6.2.2)
使用Memcached和内存缓存加速插件Batcache为WordPress提速 织梦特殊标签dede:sql dede:php等用法 Proxmox VE 6.1/6.2 U盘安装教程 centos修改ssh端口 Centos6.2 系统语言设置 iptables配置详解
标签聚合
POSCMS 手机 DSM 群晖 虚拟机 PVE FineCMS CMS

COPYRIGHT © 2015-2022 wangxingcs.com. ALL RIGHTS RESERVED.

Theme Kratos Made By Seaton Jiang

陕ICP备13007295号