当前位置：首页 > 技术运维

流量基建：OpenResty 生产环境 SSL 证书部署与调优实战

李牧之6个月前 (12-04)技术运维101

**作者：沐青 | 栏目：技术运维 | 预计阅读时间：6 分钟**

---

在流量架构中，OpenResty 凭借其高并发处理能力和 Lua 扩展性，常被用作最前端的 API 网关。
既然是“门面”，HTTPS（SSL）就是标配。

很多朋友问：“OpenResty 的 SSL 怎么配？和 Nginx 有什么区别？”
**结论很简单：底层逻辑完全一致。** OpenResty 也就是打包了各种模块的 Nginx。

但“能用”和“好用”是两码事。
今天我们不讲废话，直接给出一套**符合生产环境标准、兼顾安全与性能**的配置方案。

## 一、 核心逻辑与准备工作

不要把证书文件乱扔。在 Linux 运维中，规范的目录结构能救你的命。
我们需要两个核心文件：
1.  **公钥 (Certificate):** 通常以 `.pem` 或 `.crt` 结尾。
2.  **私钥 (Private Key):** 通常以 `.key` 结尾（必须严格保密）。

**建议路径规范：**
```bash
mkdir -p /usr/local/openresty/nginx/conf/cert/
# 将你的 .pem 和 .key 文件上传至此目录
```
## 二、 配置文件深度拆解 (实战代码)
打开 OpenResty 的主配置文件（通常在 /usr/local/openresty/nginx/conf/nginx.conf）。

不要直接复制网上的“小白教程”，那些配置大多过时且不安全。 请直接使用这份经过优化的配置模板：
```
server {
    # 1. 基础监听：开启 SSL 并启用 HTTP/2 (大幅提升加载速度)
    listen 443 ssl http2;
    server_name muqing.net; # 替换为你的域名

# 2. 证书路径指向 (使用绝对路径，避免报错)
    ssl_certificate     /usr/local/openresty/nginx/conf/cert/muqing.net.pem;
    ssl_certificate_key /usr/local/openresty/nginx/conf/cert/muqing.net.key;

# 3. 沐青推荐：SSL 性能与安全调优
    ssl_session_timeout 5m;
    ssl_session_cache shared:SSL:10m; # 开启缓存，减少握手消耗

# 4. 协议限制：严禁使用不安全的 SSLv3 和 TLSv1
    ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;

# 5. 加密套件优化：优先使用服务器端加密套件，兼顾性能
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    ssl_prefer_server_ciphers on;

location / {
        root   html;
        index  index.html index.htm;
    }
}
```
关键配置解析：
http2: 必须加。对于现代浏览器，HTTP/2 的多路复用能显著降低延迟。
ssl_protocols: 必须禁掉 SSLv3 和 TLSv1.0，否则你的网站在安全审计中会不及格。
ssl_ciphers: 这串字符决定了加密强度和兼容性，直接抄作业即可。
## 三、 流量闭环：强制 HTTP 跳转 HTTPS
为了 SEO 权重集中，以及防止用户通过不安全的 HTTP 访问，必须做 301 重定向。 在同一个配置文件中，新增一个监听 80 端口的 server 块：
```
server {
    listen 80;
    server_name muqing.net; 
    # 使用 301 永久重定向，传递 request_uri 参数
    return 301 https://$host$request_uri;
}
```
## 四、 验证与热加载
配置写好了，不要直接重启，先验证语法。

1. 语法检查 (Syntax Check)
/usr/local/openresty/bin/openresty -t
如果看到 syntax is ok 和 test is successful，说明配置无误。

2. 平滑重启 (Reload)
/usr/local/openresty/bin/openresty -s reload
注意： 生产环境尽量使用 reload 而不是 restart，这样不会断开当前的连接。
## 五、 进阶玩法：acme.sh 自动化运维
如果你还在手动上传证书、手动续期，那就太低效了。 在**【技术运维】**领域，我们讲究自动化。推荐使用 acme.sh 脚本配合 OpenResty。

自动化部署命令示例：
```
acme.sh --install-cert -d muqing.net \
--key-file       /usr/local/openresty/nginx/conf/cert/muqing.net.key  \
--fullchain-file /usr/local/openresty/nginx/conf/cert/muqing.net.pem \
--reloadcmd      "/usr/local/openresty/bin/openresty -s reload"
```
原理： 这个命令不仅会把申请好的证书复制到指定目录，还会在证书自动续期（Renew）成功后，自动执行 reload 命令让新证书生效。这才是真正的“一劳永逸”。
## 六、 常见报错与排坑
在实战中，你可能会遇到以下问题，我都列好了解法：
报错 unknown directive "ssl"
原因： 编译 OpenResty 时没装 SSL 模块。
解法： 重新编译，加上 --with-http_ssl_module 参数。
配置没问题，但外网访问不了
原因： 90% 是防火墙锅。
解法： 检查服务器防火墙（ufw/firewalld）是否放行 443 端口；如果是云服务器（阿里/腾讯/AWS），务必去控制台检查安全组规则。

Permission denied (权限拒绝)
原因： 运行 OpenResty 的用户（通常是 nobody 或 www）读取不了 root 用户上传的证书。
解法： chmod 644 你的证书文件，或者确保运行用户对目录有读取权限。
## 沐青总结
SSL 配置看似简单，但体现的是运维的颗粒度。
开 HTTP/2，为了快。
禁老旧协议，为了稳。
上 acme.sh，为了懒。
把这三点做好，你的网关基建才算及格。
## Next Step： 
如果你在配置 acme.sh 自动化脚本时遇到 DNS 验证失败的问题，可以查看我之前的文章**《泛域名 SSL 证书申请攻略》**，或者在评论区贴出报错日志。