快捷導(dǎo)航

Nginx 通過ssl_trusted_certificate正確補全中間證書

更新時間：2026年04月20日 09:02:12 作者：舞夢輝影

在 Nginx 配置 HTTPS 時,使用 ssl_trusted_certificate 指令可以指定受信任的 CA 證書鏈,用于驗證客戶端證書或 OCSP Stapling 等功能,正確補全中間證書鏈是確保 SSL/TLS 連接兼容性和安全性的關(guān)鍵,下面就來詳細的介紹一下如何使用,感興趣的可以了解一下

核心概念

證書類型	說明
服務(wù)器證書 (End-entity)	你的域名證書，由 CA 簽發(fā)
中間證書 (Intermediate)	連接服務(wù)器證書和根證書的橋梁
根證書 (Root)	自簽名的頂級 CA 證書，預(yù)裝在系統(tǒng)信任庫

為什么 ssl_trusted_certificate 不解決“鏈不完整”警告

這個指令的作用對象是 Nginx 本身，不是瀏覽器：

ssl_certificate：Nginx 在 TLS 握手時發(fā)給客戶端的證書列表。必須含域名證書 + 所有中間證書（不含根證書）。
ssl_trusted_certificate：僅供 Nginx 內(nèi)部使用，例如驗證 OCSP 響應(yīng)簽名或校驗雙向 TLS 中客戶端證書。它不會被發(fā)給瀏覽器，對修復(fù)“NET::ERR_CERT_AUTHORITY_INVALID”無效。

正確做法：確保 ssl_certificate 指向 fullchain 文件

所有修復(fù)動作都圍繞一個核心——讓 ssl_certificate 的值指向一個拼接好的 PEM 文件，內(nèi)容順序嚴格為：

你的域名證書（example.com.crt）
緊接著是中間證書（如 intermediate.crt；若有多級，按信任路徑從近到遠追加）
不要包含根證書（Root CA）

正確配置方式

1. 合并證書鏈文件

將服務(wù)器證書和中間證書按順序合并到一個文件（服務(wù)器證書在前，中間證書在后）：

# 正確的順序：服務(wù)器證書 → 中間證書1 → 中間證書2（如有）
cat your_domain.crt intermediate.crt > fullchain.crt

或使用證書商提供的 fullchain.pem 文件。

2. Nginx 配置

server {
    listen 443 ssl http2;
    server_name example.com;
    # 服務(wù)器證書 + 中間證書（合并后的完整鏈）
    ssl_certificate     /etc/nginx/ssl/fullchain.crt;
    ssl_certificate_key /etc/nginx/ssl/private.key;
    # 受信任的 CA 證書（用于驗證客戶端證書或 OCSP）
    ssl_trusted_certificate /etc/nginx/ssl/chain.pem;
    # OCSP Stapling（需要 ssl_trusted_certificate 支持）
    ssl_stapling on;
    ssl_stapling_verify on;
    # 其他 SSL 配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
}

關(guān)鍵指令詳解

指令	用途	文件內(nèi)容
ssl_certificate	向客戶端展示的服務(wù)器證書鏈	服務(wù)器證書 + 中間證書（必須完整）
ssl_certificate_key	服務(wù)器證書的私鑰	私鑰文件（.key 或 .pem）
ssl_trusted_certificate	驗證客戶端證書或 OCSP 響應(yīng)的受信 CA	中間證書 + 根證書（通常不含服務(wù)器證書）

驗證證書鏈完整性

方法一：OpenSSL 命令行

# 檢查證書鏈是否完整（應(yīng)顯示 0 errors, 0 warnings）
openssl verify -CAfile /etc/nginx/ssl/chain.pem /etc/nginx/ssl/fullchain.crt
# 檢查 Nginx 實際提供的證書鏈
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -text -noout
# 查看完整證書鏈
echo | openssl s_client -connect example.com:443 -servername example.com -showcerts

常見問題排查

問題 1：證書鏈不完整（"Certificate chain incomplete"）

癥狀：Android 舊設(shè)備或 Java 客戶端無法連接。

解決：確保 ssl_certificate 包含完整鏈：

# 下載證書商提供的中間證書，合并到 fullchain
cat your_domain.crt ca_intermediate.crt > fullchain.crt

問題 2：OCSP Stapling 失敗

癥狀：ssl_stapling on 但 OCSP 狀態(tài)為 No response sent。

解決：ssl_trusted_certificate 必須包含簽發(fā)你證書的 CA 的完整鏈：

# 從證書中提取并保存中間證書
openssl crl2pkcs7 -nocrl -certfile fullchain.crt | openssl pkcs7 -print_certs -out chain.pem

問題 3：順序錯誤

錯誤順序（中間證書在前）會導(dǎo)致握手失敗：

# ? 錯誤：不要這樣合并
cat intermediate.crt your_domain.crt &gt; wrong.crt

最佳實踐配置模板

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com;
    # 證書配置
    ssl_certificate     /etc/nginx/ssl/fullchain.pem;  # 證書+中間證書
    ssl_certificate_key /etc/nginx/ssl/privkey.pem;      # 私鑰
    # 受信 CA 鏈（用于 OCSP 和客戶端驗證）
    ssl_trusted_certificate /etc/nginx/ssl/chain.pem;
    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;
    # 現(xiàn)代 SSL 配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    # 會話緩存
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;
}

配置完成后，務(wù)必使用 nginx -t 測試配置，并重啟 Nginx 使配置生效。

到此這篇關(guān)于Nginx 通過ssl_trusted_certificate正確補全中間證書的文章就介紹到這了,更多相關(guān)Nginx ssl_trusted_certificate補全中間證書內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: