用 Nginx 托管静态网站并签发 Let's Encrypt 证书

前置条件

开始之前，先确认这些都具备

• 一台已加固的服务器与 sudo 权限
• 一个自己控制 DNS 的域名
• 防火墙已放行 80 与 443

操作步骤

共 8 步

1. 步骤 01 / 08

   安装 Nginx 并确认它在跑 #

   Debian 与 Ubuntu 官方仓库里的 Nginx 版本足够稳定，除非要用特定的新模块，否则不必折腾第三方源。安装后先用本机 curl 确认默认页能出来，把「服务问题」和「网络问题」分开。

   sudo apt update && sudo apt install -y nginx
   systemctl status nginx --no-pager
   
   curl -I http://127.0.0.1
   sudo ufw allow 80,443/tcp comment 'web'

2. 步骤 02 / 08

   建立站点目录并放上首页 #

   一个域名一个目录，命名就用域名本身，机器上有十几个站点时你会感谢现在的自己。属主给 www-data，权限用符号写法一次搞定：目录 755、文件 644。

   sudo mkdir -p /var/www/example.com/html
   echo '<h1>example.com</h1>' | sudo tee /var/www/example.com/html/index.html
   
   sudo chown -R www-data:www-data /var/www/example.com
   sudo chmod -R u=rwX,go=rX /var/www/example.com

3. 步骤 03 / 08

   写 server 块 #

   try_files 的作用是：先找同名文件，再找同名目录，都没有就返回 404 —— 静态站点这样写足够了。每个站点单独一份访问日志，排查问题时不用在几十万行里翻。

   # /etc/nginx/sites-available/example.com
   server {
       listen 80;
       listen [::]:80;
       server_name example.com www.example.com;
   
       root /var/www/example.com/html;
       index index.html;
   
       access_log /var/log/nginx/example.com.access.log;
       error_log  /var/log/nginx/example.com.error.log;
   
       location / {
           try_files $uri $uri/ =404;
       }
   
       location ~ /\. {
           deny all;
       }
   }

4. 步骤 04 / 08

   启用站点、校验、重载 #

   nginx -t 是这一步的安全带：配置有错时它会指出文件与行号，而重载一个有错的配置会让整台机器上的所有站点一起下线。顺手删掉默认站点，避免未匹配的域名落到 Nginx 的欢迎页。

   sudo ln -s /etc/nginx/sites-available/example.com /etc/nginx/sites-enabled/
   sudo rm -f /etc/nginx/sites-enabled/default
   
   sudo nginx -t
   sudo systemctl reload nginx
   
   curl -I -H "Host: example.com" http://127.0.0.1

5. 步骤 05 / 08

   确认 DNS 已经生效，再去签证书 #

   证书签发失败最常见的原因就是 DNS 还没生效。先 dig 确认解析确实指向这台机器的 IP。如果域名挂在 CDN 后面，建议先切成仅解析（DNS only）完成签发，再打开代理。

   # Debian 最小安装可能没有 dig
   sudo apt install -y bind9-dnsutils
   
   dig +short example.com @1.1.1.1
   dig +short www.example.com @1.1.1.1
   
   # 应当返回这台服务器的公网 IP
   curl -4 -s ifconfig.me; echo

6. 步骤 06 / 08

   签发证书并开启自动跳转 #

   certbot 的 nginx 插件会自动改写 server 块、加上 443 监听与证书路径。--redirect 让 HTTP 自动跳转到 HTTPS。调试阶段先加 --dry-run 试跑，避免反复失败触发签发频率限制。

   sudo apt install -y certbot python3-certbot-nginx
   
   sudo certbot --nginx \
     -d example.com -d www.example.com \
     --agree-tos -m [email protected] --no-eff-email \
     --redirect
   
   curl -I https://example.com

7. 步骤 07 / 08

   确认自动续期真的会跑 #

   证书有效期不长，续期必须是自动的。certbot 的软件包会装好一个 systemd timer；用 --dry-run 完整模拟一次续期流程，比等到过期前收到告警要从容得多。

   systemctl list-timers | grep -i certbot
   sudo certbot renew --dry-run
   sudo certbot certificates

8. 步骤 08 / 08

   （可选）加上压缩与缓存头 #

   静态资源加长缓存、开压缩，对跨境访问的体感提升明显 —— 少一次往返在 200 ms 以上的链路上就是实打实的时间。注意 HTML 本身不要设长缓存，否则改了内容访客看不到。

   # 放进 server 块内部
   gzip on;
   gzip_types text/css application/javascript application/json image/svg+xml;
   gzip_min_length 1024;
   
   location ~* \.(?:css|js|jpg|jpeg|png|gif|webp|woff2)$ {
       expires 30d;
       add_header Cache-Control "public, immutable";
       access_log off;
   }

相关教程

接下来通常会看这几篇