Nginx国密HTTPS实战：SM2双证书部署与TongSuo编译指南

1. 项目概述与背景

最近在给一个金融行业的客户做系统升级，核心要求之一就是实现HTTPS的“国密化”改造。简单来说，就是把我们熟悉的、基于RSA/ECC算法的国际标准SSL/TLS，替换成符合我国密码管理局（国密局）标准的SM2/SM4/SM3算法体系。这不仅仅是技术选型的变化，更是满足金融、政务等领域安全合规的硬性要求。项目最终选型是阿里云签发的SM2双证书，搭配Nginx国密版来搭建服务端。整个过程走下来，从证书申请、Nginx编译到最终配置上线，踩了不少坑，也积累了一些实战技巧，尤其是证书链合并这个环节，官方文档一笔带过，但实际配置时却至关重要。今天就把这套从零到一的完整搭建流程，以及那些“教科书上不会写”的细节和避坑指南，系统地梳理分享出来。

如果你也在面临国密改造，或者对国密SSL的实际部署感兴趣，这篇内容应该能帮你省下大量摸索的时间。我们不仅会完成一个基础的国密HTTPS站点搭建，还会深入探讨如何优雅地处理证书链、优化Nginx配置以兼容国际标准浏览器，以及一系列部署后的验证与排错方法。

2. 核心概念与方案选型

在动手之前，我们必须先理清几个关键概念，这决定了我们后续所有操作的逻辑和方向。

2.1 国密SSL与SM2双证书机制

国密SSL，本质上是一套完整的、国产的密码算法套件在SSL/TLS协议中的应用。它主要包含：

• SM2: 用于非对称加密和数字签名，对标国际的RSA和ECC。
• SM3: 用于生成消息摘要（哈希），对标国际的SHA-256。
• SM4: 用于对称加密，对标国际的AES。

在国际标准的HTTPS中，我们通常使用一套RSA或ECC证书（包含公钥和私钥）来完成身份认证和密钥交换。但在国密SSL的典型实现中，特别是遵循《GM/T 0024-2014 SSL VPN技术规范》的“双证书”方案，事情变得稍微复杂一些。

为什么需要双证书？双证书方案将签名和加密两种功能分离，分别使用两对不同的SM2密钥对：

1. 签名证书 (Signature Certificate): 用于身份认证和生成数字签名。私钥由服务器严格保管，公钥放在证书中供客户端验证服务器身份。这是建立信任的基石。
2. 加密证书 (Encryption Certificate): 用于密钥交换。客户端使用该证书的公钥加密一个临时生成的对称密钥（如SM4的密钥）并发送给服务器，服务器用对应的私钥解密获得该对称密钥，后续通信便使用这个对称密钥加密。

这种分离带来了更高的安全性。即使加密证书的私钥在未来某一天因某种原因泄露，攻击者也无法冒充服务器（因为签名私钥未泄露），历史通信的签名也无法被伪造。

从阿里云下载的国密证书包，通常会包含四个文件：yourdomain_sm2_sign.pem（签名证书）、yourdomain_sm2_sign.key（签名私钥）、yourdomain_sm2_enc.pem（加密证书）、yourdomain_sm2_enc.key（加密私钥）。

2.2 Nginx国密版：为什么不能直接用官方版？

这是第一个容易踩坑的点。Nginx官方发行版默认链接的是OpenSSL库，而标准的OpenSSL并不支持国密算法。因此，我们需要一个支持国密算法的SSL库，并重新编译Nginx，使其链接到这个国密SSL库。

常见的国密SSL实现有：

• TongSuo（铜锁，原BabaSSL）: 蚂蚁集团开源的项目，对国密算法支持完善，社区活跃，是目前的主流选择之一。
• GMSSL: 北京大学维护的开源项目，是国密算法标准的参考实现。
• Wotrus（沃通）国密模块: 一些云服务商（如阿里云早期文档）可能会推荐使用沃通提供的模块。

方案选型考量：我这次选择了TongSuo。原因有几个：首先，它是蚂蚁集团在开源OpenSSL分支（BabaSSL）基础上发展而来的，继承了OpenSSL的生态和接口，兼容性好，替换和编译过程相对平滑。其次，其文档和社区支持在国内开发者中更广泛，遇到问题更容易找到解决方案。最后，它积极跟进国密标准和技术发展，长期维护的可靠性更高。因此，下文将基于Nginx + TongSuo的组合进行实战。

2.3 双证书部署与浏览器兼容性现实

一个残酷的现实是：Chrome、Firefox、Safari等主流国际浏览器，目前均不原生支持国密SSL。这意味着，如果你只部署了SM2双证书，那么用这些浏览器访问你的网站，会直接看到“不安全连接”或“无法建立安全连接”的错误。

为了解决这个问题，实践中通常采用“SM2/RSA双证书双栈”方案：

• 在Nginx的同一个server块中，同时配置SM2双证书和一套国际标准证书（如RSA证书）。
• Nginx国密版在TLS握手时，可以根据客户端支持的密码套件，自动选择使用国密套件还是国际标准套件。
• 支持国密的浏览器（如360安全浏览器、密信浏览器、红莲花浏览器）会优先使用国密套件连接。
• 主流国际浏览器则会回退到使用RSA证书的国际标准套件连接。

这样，既满足了国密合规要求，又保证了网站的普遍可访问性。我们接下来的配置也会包含这部分。

3. 环境准备与国密Nginx编译安装

理论清晰后，我们进入实战环节。首先准备一台干净的Linux服务器（以CentOS 7.x为例）。

3.1 系统基础环境准备

登录服务器，先进行基础更新和依赖安装。

# 更新系统包 sudo yum update -y # 安装编译工具和基础依赖 sudo yum install -y gcc gcc-c++ make automake autoconf libtool pcre pcre-devel zlib zlib-devel openssl openssl-devel wget git # 创建统一的源码编译目录 mkdir -p /usr/local/src/nginx_build cd /usr/local/src/nginx_build

3.2 编译安装TongSuo国密SSL库

我们将从GitHub拉取TongSuo的最新稳定版源码进行编译。

# 克隆 TongSuo 仓库 (以 8.3.3 版本为例，建议查看官方仓库选择最新稳定版) git clone https://github.com/Tongsuo-Project/Tongsuo.git --depth 1 -b 8.3.3 cd Tongsuo # 配置编译选项。这里我们将其安装到 /usr/local/tongsuo，并启用国密相关算法 ./config --prefix=/usr/local/tongsuo --openssldir=/usr/local/tongsuo/ssl enable-ntls enable-ec_sm2 enable-sm2 enable-sm3 enable-sm4 enable-sms4 enable-rc4 enable-ssl-trace # 编译并安装 (-j 参数根据你的CPU核心数调整，可以加快编译速度) make -j$(nproc) sudo make install # 将 TongSuo 的库路径添加到系统链接库配置，让系统能找到它 echo "/usr/local/tongsuo/lib64" | sudo tee /etc/ld.so.conf.d/tongsuo.conf sudo ldconfig # 验证安装是否成功 /usr/local/tongsuo/bin/openssl version # 期望输出应包含 Tongsuo 字样，并显示支持的协议，如 `Tongsuo 8.3.3`

注意：enable-ntls是启用国密SSL TLS协议（即NTLS， National TLS）的关键选项。enable-ec_sm2等则是启用具体的国密算法。

3.3 编译安装支持国密的Nginx

接下来下载Nginx源码，并指定使用我们刚安装的TongSuo进行编译。

# 返回源码目录，下载 Nginx 稳定版 (以 1.24.0 为例) cd /usr/local/src/nginx_build wget http://nginx.org/download/nginx-1.24.0.tar.gz tar -zxvf nginx-1.24.0.tar.gz cd nginx-1.24.0 # 配置Nginx，关键是指定 --with-openssl 为我们编译的TongSuo路径 # 同时启用我们需要的模块，如 http_ssl_module, stream_ssl_module 等 ./configure --prefix=/usr/local/nginx \ --with-http_ssl_module \ --with-stream \ --with-stream_ssl_module \ --with-openssl=/usr/local/src/nginx_build/Tongsuo \ --with-openssl-opt="--prefix=/usr/local/tongsuo enable-ntls" \ --with-http_v2_module \ --with-http_stub_status_module \ --with-http_realip_module \ --with-http_gzip_static_module # 编译并安装 make -j$(nproc) sudo make install

实操心得：./configure这一步可能会因为缺少某些依赖而报错。常见的错误是找不到PCRE或zlib，尽管我们已经安装了-devel包。如果遇到，请根据错误信息，确认pcre-config、zlib等开发包是否已正确安装，有时需要指定路径，如--with-pcre=/usr/lib64/...。

编译安装成功后，可以验证Nginx是否链接了正确的SSL库：

/usr/local/nginx/sbin/nginx -V

在输出的巨量信息中，你需要重点关注一行：

built with OpenSSL 8.3.3 (Tongsuo) ... enable-ntls

如果看到Tongsuo和enable-ntls，恭喜你，国密版的Nginx已经编译成功。

3.4 配置系统服务与防火墙

为了方便管理，我们将Nginx配置为systemd服务。

# 创建 systemd 服务文件 sudo vi /etc/systemd/system/nginx.service

将以下内容粘贴进去：

[Unit] Description=The nginx HTTP and reverse proxy server After=network.target remote-fs.target nss-lookup.target [Service] Type=forking PIDFile=/usr/local/nginx/logs/nginx.pid ExecStartPre=/usr/local/nginx/sbin/nginx -t ExecStart=/usr/local/nginx/sbin/nginx ExecReload=/usr/local/nginx/sbin/nginx -s reload ExecStop=/bin/kill -s QUIT $MAINPID PrivateTmp=true [Install] WantedBy=multi-user.target

保存退出后，启用并启动Nginx服务：

sudo systemctl daemon-reload sudo systemctl enable nginx sudo systemctl start nginx sudo systemctl status nginx # 查看状态，应为 active (running)

开放防火墙端口： 我们需要允许HTTP(80)和HTTPS(443)端口的流量。

# 如果使用firewalld sudo firewall-cmd --permanent --add-service=http sudo firewall-cmd --permanent --add-service=https sudo firewall-cmd --reload # 如果使用iptables (CentOS 7 默认) sudo iptables -I INPUT -p tcp --dport 80 -j ACCEPT sudo iptables -I INPUT -p tcp --dport 443 -j ACCEPT # 保存iptables规则 sudo service iptables save # 对于CentOS 7 # 或 sudo /usr/libexec/iptables/iptables.init save

4. 阿里云SM2证书申请与处理

环境就绪，接下来处理证书。我们以阿里云为例，其他云服务商流程类似。

4.1 申请与下载SM2双证书

1. 购买与申请：登录阿里云控制台，进入“数字证书管理服务”。购买一款支持“国密标准(SM2)”的SSL证书（如“国密单域名证书”或“国密OV”等）。在证书申请过程中，关键点在于CSR生成方式。
   • 强烈建议：选择“系统生成CSR”。让阿里云系统为你生成密钥对。这样，在下载的证书包中，才会同时包含签名和加密两对完整的证书和私钥文件。如果选择“手动生成CSR”，你下载的包里将只有证书文件（.pem），没有私钥(.key)，私钥需要你自己保管，配置时会比较麻烦。
2. 域名验证：完成域名所有权验证（DNS解析或文件验证）。
3. 下载证书：证书签发后，在控制台找到该证书，在“下载”按钮处，选择服务器类型为“Nginx”。这会下载一个压缩包，例如yourdomain.com_nginx.zip。

解压后，你会看到类似以下结构的文件：

yourdomain.com_sm2_sign.pem # SM2签名证书 yourdomain.com_sm2_sign.key # SM2签名私钥 yourdomain.com_sm2_enc.pem # SM2加密证书 yourdomain.com_sm2_enc.key # SM2加密私钥 yourdomain.com.pem # 国际标准证书（RSA，可选但推荐） yourdomain.com.key # 国际标准私钥（RSA，可选但推荐）

注意事项：务必妥善保管所有.key私钥文件！它们是最高机密，一旦泄露，证书就废了。建议使用600权限，并且仅限于root或nginx进程用户可读。

4.2 证书链合并的核心技巧

这是本文的精华部分，也是很多文档语焉不详导致部署失败的关键。在Nginx配置中，ssl_certificate指令指向的文件，必须是一个包含服务器证书和中间CA证书链的完整文件。

问题来了：阿里云下载的.pem证书文件，通常只包含你的域名证书（叶子证书）。缺少了签发它的中间CA证书。如果不合并，客户端（浏览器）在验证时，可能无法构建完整的信任链，导致“证书链不完整”的安全警告。

如何获取并合并证书链？

1. 查看证书内容：你可以用文本编辑器打开yourdomain.com_sm2_sign.pem，通常它以-----BEGIN CERTIFICATE-----开头，-----END CERTIFICATE-----结尾。里面只有一段证书数据。

2. 获取中间CA证书：

   • 方法一（推荐，从阿里云获取）：在证书下载页面，有时会提供一个“证书链下载”或“CA证书”的链接。如果找不到，可以联系客服获取签发你证书的中间CA证书（PEM格式）。
   • 方法二（通用，从证书中提取）：使用OpenSSL命令查看证书的颁发者，并手动从公开的CA仓库下载。但对于国密证书，其CA体系可能不同，最好从云服务商处获取。
   • 假设你从阿里云获得了两个中间CA文件：root_sm2_ca.pem(根CA，通常不需要) 和intermediate_sm2_ca.pem(中间CA)。

3. 合并证书链文件：合并的顺序是【你的域名证书】+ 【中间CA证书】。根CA证书通常不需要包含，因为主流操作系统或浏览器已经内置。

   # 在服务器上，进入证书存放目录，例如 /usr/local/nginx/conf/cert/ cd /usr/local/nginx/conf/cert/ # 合并签名证书链 cat yourdomain.com_sm2_sign.pem intermediate_sm2_ca.pem > yourdomain.com_sm2_sign_chain.pem # 合并加密证书链（如果加密证书和签名证书由同一个CA签发，链通常相同） cat yourdomain.com_sm2_enc.pem intermediate_sm2_ca.pem > yourdomain.com_sm2_enc_chain.pem # 合并国际标准RSA证书链（如果申请了的话） cat yourdomain.com.pem intermediate_rsa_ca.pem > yourdomain.com_rsa_chain.pem

   关键顺序：一定是你的证书在前，中间CA在后。如果有多级中间CA，按从子到父的顺序追加。

4. 验证合并后的证书链：使用TongSuo的openssl命令验证。

   /usr/local/tongsuo/bin/openssl verify -CAfile intermediate_sm2_ca.pem yourdomain.com_sm2_sign_chain.pem

   如果输出yourdomain.com_sm2_sign_chain.pem: OK，说明链是完整的。

5. Nginx国密HTTPS完整配置实战

现在，证书和服务器都准备好了，让我们来编写核心的Nginx配置。

5.1 基础国密双证书配置

首先，创建或修改Nginx的主配置文件，通常位于/usr/local/nginx/conf/nginx.conf。我们在http块内添加一个server块。

http { ... # 其他全局配置 server { listen 443 ssl; # 监听443端口，启用SSL server_name yourdomain.com www.yourdomain.com; # 替换为你的域名 # ========== 国密SM2双证书配置 ========== # 签名证书及链 ssl_certificate /usr/local/nginx/conf/cert/yourdomain.com_sm2_sign_chain.pem; ssl_certificate_key /usr/local/nginx/conf/cert/yourdomain.com_sm2_sign.key; # 加密证书及链 (注意：Nginx国密版通过`ssl_certificate`和`ssl_certificate_key`指定第二套证书即视为加密证书) ssl_certificate /usr/local/nginx/conf/cert/yourdomain.com_sm2_enc_chain.pem; ssl_certificate_key /usr/local/nginx/conf/cert/yourdomain.com_sm2_enc.key; # ========== 国际标准RSA证书配置 (用于浏览器兼容) ========== # 这是可选的，但强烈建议配置。Nginx会基于客户端能力自动选择。 ssl_certificate /usr/local/nginx/conf/cert/yourdomain.com_rsa_chain.pem; ssl_certificate_key /usr/local/nginx/conf/cert/yourdomain.com.key; # ========== SSL通用优化配置 ========== ssl_session_timeout 5m; ssl_session_cache shared:SSL:10m; ssl_session_tickets off; # 对于更高安全性，可以关闭session tickets # 密码套件配置：这是国密与国际兼容的核心！ # 优先使用国密套件，同时支持强国际套件 ssl_ciphers ECC-SM4-SM3:ECDHE-SM4-SM3:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK; ssl_prefer_server_ciphers on; # 协议版本：禁用不安全的旧协议 ssl_protocols TLSv1.2 TLSv1.3; # TongSuo 8.3+ 支持 TLSv1.3 # HSTS (可选但推荐) add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always; # 网站根目录等其他配置 root /usr/local/nginx/html; index index.html index.htm; location / { try_files $uri $uri/ =404; } # 可选：状态页，用于监控 location /nginx_status { stub_status on; access_log off; allow 127.0.0.1; deny all; } } # 可选：将HTTP请求重定向到HTTPS server { listen 80; server_name yourdomain.com www.yourdomain.com; return 301 https://$server_name$request_uri; } }

5.2 配置详解与关键参数

1. 双证书配置：Nginx国密版（基于TongSuo）的配置语法很直观，就是连续写两对ssl_certificate和ssl_certificate_key。第一对被认为是签名证书，第二对是加密证书。顺序不能错。
2. 密码套件ssl_ciphers：这是配置的灵魂。
   • ECC-SM4-SM3和ECDHE-SM4-SM3是国密套件。ECC-SM4-SM3通常用于SM2密钥交换，ECDHE-SM4-SM3用于支持前向保密的椭圆曲线密钥交换。
   • ECDHE-RSA-AES256-GCM-SHA384等是国际标准的强加密套件。
   • ssl_prefer_server_ciphers on;让服务器端的套件优先级生效，确保支持国密的客户端优先使用国密套件。
3. 协议ssl_protocols：务必禁用 TLSv1.0 和 TLSv1.1，它们已被证实不安全。TLSv1.2 和 TLSv1.3 是当前的安全标准。TongSuo对TLSv1.3的国密支持也在不断完善中。

5.3 配置测试与重载

配置完成后，务必先测试语法是否正确。

sudo /usr/local/nginx/sbin/nginx -t

如果输出nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful，说明配置无误。

然后重载Nginx使配置生效：

sudo systemctl reload nginx # 或 sudo /usr/local/nginx/sbin/nginx -s reload

6. 验证、测试与问题排查

部署完成后，如何进行有效验证？

6.1 基础连通性测试

首先，用curl命令测试HTTPS服务是否正常响应。

curl -I https://yourdomain.com

应该能看到返回HTTP/1.1 200 OK或类似的成功状态码。如果连接失败，检查防火墙、安全组、Nginx进程状态和错误日志 (/usr/local/nginx/logs/error.log)。

6.2 国密连接测试

这是验证国密是否生效的关键。我们需要使用支持国密的客户端工具。TongSuo自带的openssl s_client命令就支持国密。

# 测试国密NTLS连接，使用签名证书套件 /usr/local/tongsuo/bin/openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -ntls -sign_cert /usr/local/nginx/conf/cert/yourdomain.com_sm2_sign_chain.pem -sign_key /usr/local/nginx/conf/cert/yourdomain.com_sm2_sign.key -enc_cert /usr/local/nginx/conf/cert/yourdomain.com_sm2_enc_chain.pem -enc_key /usr/local/nginx/conf/cert/yourdomain.com_sm2_enc.key

这个命令会模拟一个国密客户端进行完整的NTLS握手。如果成功，在输出中你会看到类似以下信息：

... New, NTLSv1.1, Cipher is ECC-SM4-SM3 Server public key is 256 bit Secure Renegotiation IS supported ...

注意Cipher is ECC-SM4-SM3，这表明连接确实使用了国密算法套件。

6.3 国际标准连接测试

用系统自带的OpenSSL或普通curl测试国际标准连接。

# 使用系统openssl测试RSA套件 openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

在输出中，你应该看到使用的是类似ECDHE-RSA-AES256-GCM-SHA384的套件，并且证书链验证成功。

也可以使用在线SSL检测工具（如 SSL Labs的 SSL Test），输入你的域名进行扫描。它会详细列出服务器支持的协议、套件，并验证证书链。注意：这些在线工具可能无法识别国密套件，但它们能很好地验证你的国际标准RSA证书配置是否正确。

6.4 浏览器访问测试

• 国际浏览器（Chrome/Firefox/Safari）：访问https://yourdomain.com，地址栏应显示安全锁，点击锁图标查看证书详情，应显示你配置的RSA证书。这证明了兼容性配置成功。
• 国密浏览器（如360安全浏览器极速模式、密信浏览器）：访问同一地址。在开发者工具的“安全”(Security)标签页或证书详情中，应能看到使用的是SM2证书和SM系列算法。这是国密生效的直接证据。

6.5 常见问题排查实录

即使按照步骤操作，也可能会遇到问题。以下是我在多次部署中遇到的典型问题及解决方法：

问题1：Nginx启动或重载失败，报错SSL_CTX_use_PrivateKey或PEM_read_bio_PrivateKey

• 原因：私钥文件格式错误、权限问题或密码保护。
• 排查：
  1. 检查私钥文件路径和文件名是否正确。
  2. 检查私钥文件权限：ls -l yourdomain.com_sm2_sign.key，应为-rw-------(600)。使用chmod 600 *.key修正。
  3. 验证私钥是否与证书匹配：/usr/local/tongsuo/bin/openssl pkey -in yourdomain.com_sm2_sign.key -pubout | openssl md5和/usr/local/tongsuo/bin/openssl x509 -in yourdomain.com_sm2_sign_chain.pem -pubkey -noout | openssl md5，两个MD5值应该相同。
  4. 如果私钥有密码，需要在Nginx配置中使用ssl_password_file指令指定密码文件，但这在自动化部署中不推荐，建议使用无密码私钥。

问题2：浏览器提示“证书链不完整”或“此证书并非由受信任的机构颁发”

• 原因：这就是前面强调的证书链缺失问题。服务器没有发送中间CA证书。
• 解决：确保你的ssl_certificate指向的文件是合并了中间CA的完整链文件（.pem），而不是仅包含域名证书的文件。使用在线解码工具检查你服务器发送的证书链。

问题3：国密浏览器无法建立安全连接，但国际浏览器正常

• 原因：Nginx没有正确编译国密支持，或者密码套件配置中国密套件顺序不对或不被支持。
• 排查：
  1. 确认nginx -V输出包含Tongsuo和enable-ntls。
  2. 检查Nginx错误日志error.log，看是否有国密相关的握手错误。
  3. 使用上文提到的/usr/local/tongsuo/bin/openssl s_client -ntls ...命令进行测试，根据错误信息定位。
  4. 确认ssl_ciphers中包含了ECC-SM4-SM3等国密套件，并且顺序靠前。

问题4：配置测试 (nginx -t) 通过，但重载后服务不可用

• 原因：可能是配置中路径错误，但Nginx在测试时只检查语法，不检查文件是否存在。重载时才会真正读取文件。
• 排查：仔细检查所有ssl_certificate和ssl_certificate_key指令指向的文件路径是否绝对正确，文件是否存在且有读取权限。查看error.log获取具体错误。

问题5：如何验证TLSv1.3是否启用？

• 方法：使用支持TLSv1.3的openssl命令测试：openssl s_client -connect yourdomain.com:443 -tls1_3。在输出中寻找Protocol : TLSv1.3。同时，在Nginx的access日志中，可以添加$ssl_protocol变量来记录每次连接使用的协议。

7. 性能调优与安全加固建议

部署成功只是第一步，要让服务稳定高效，还需要一些优化。

7.1 性能优化

1. 启用SSL会话复用：我们已经配置了ssl_session_cache和ssl_session_timeout，这能减少完全握手次数，提升性能。对于高并发场景，可以增大缓存大小，例如shared:SSL:50m。
2. 调整Worker进程数：在nginx.conf的全局部分，worker_processes设置为CPU核心数或auto。
3. 调整单个Worker连接数：events块中的worker_connections根据服务器内存调整，例如10240。
4. 启用Gzip压缩：在http块中启用gzip，减少传输体积。
5. OCSP Stapling (对于国际证书)：对于RSA证书，可以启用OCSP装订，加快证书状态验证。但国密证书体系可能暂不支持，需确认CA服务。

   ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate /path/to/your/rsa_chain_plus_root.pem; # 需要包含根CA resolver 8.8.8.8 114.114.114.114 valid=300s; resolver_timeout 5s;

7.2 安全加固

1. 禁用弱密码套件：我们配置的ssl_ciphers已经排除了!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK等弱套件。定期关注TongSuo和Nginx的安全公告，更新密码套件列表。
2. 严格限定协议：只使用TLSv1.2和TLSv1.3。
3. 安全的Diffie-Hellman参数：对于使用DHE密钥交换的套件（虽然国密ECC套件不常用DHE），应生成更强的DH参数文件。

   openssl dhparam -out /usr/local/nginx/conf/dhparam.pem 2048

   然后在Nginx配置中添加：ssl_dhparam /usr/local/nginx/conf/dhparam.pem;
4. 隐藏Nginx版本信息：在http块或server块中添加server_tokens off;。
5. 限制不必要的HTTP方法：在关键的location块中，可以添加limit_except GET POST { deny all; }。
6. 定期更新与监控：定期更新TongSuo和Nginx到稳定版本，关注安全漏洞。使用监控工具监控证书有效期（国密证书通常1-2年），设置过期提醒。

整个流程走下来，从算法原理理解到环境编译，从证书处理到配置调试，国密HTTPS的部署确实比标准的RSA证书要复杂一些，尤其是证书链和双证书配置的概念。但一旦打通，其带来的合规价值和安全提升是显著的。最关键的是，通过SM2/RSA双证书双栈的配置，我们巧妙地平衡了合规性与通用性，使得这套方案具备了在生产环境大规模落地的基础。希望这篇超过五千字的详细拆解，能成为你国密化改造路上的实用指南。如果在实践中遇到新的问题，多查看日志，善用TongSuo的openssl工具进行诊断，大部分问题都能迎刃而解。