Nginx SSL证书常见问题汇总

1. Nginx 证书问题之私钥与证书不匹配错误

跟着AI学技术，一学一个不吱声！

执行nginx -t提示以下错误，可能是什么原因？

nginx: [emerg] SSL_CTX_use_PrivateKey("/etc/nginx/certs/example.com.key") failed (SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch)
nginx: configuration file /etc/nginx/nginx.conf test failed

注意：在这个错误信息中，/etc/nginx/certs/example.com.key 是私钥文件的路径，可能需要根据实际情况调整。

/etc/nginx/certs/ 这个目录并非规范的Nginx证书存放路径，我也没有找到最规范的证书路径，AI建议是 /etc/nginx/ssl/ 或 /etc/nginx/certs/，可以根据自己的实际情况调整。

这个错误表明 Nginx 在尝试加载 SSL 证书时发现私钥与证书不匹配。具体原因和解决方案如下：

错误原因

key values mismatch 表示您配置的私钥文件 (.key) 与对应的 SSL 证书公钥不匹配。可能原因包括：

1. 私钥和证书不是同一对（非同一 CSR 生成）
2. 证书文件错误（可能上传了错误的证书）
3. 私钥文件被修改或损坏

解决方案

1. 验证密钥匹配性：

   openssl x509 -noout -modulus -in /etc/nginx/certs/example.com.crt | openssl md5
   openssl rsa -noout -modulus -in /etc/nginx/certs/example.com.key | openssl md5

   如果两个命令输出的哈希值不同，则确实不匹配。

2. 重新生成证书：

   • 如果使用 Let's Encrypt，尝试重新签发：

     certbot renew --force-renewal

   • 如果是商业证书，需用原始私钥重新生成 CSR 并申请新证书

3. 检查文件权限：

   chmod 400 /etc/nginx/certs/example.com.key
   chown nginx:nginx /etc/nginx/certs/*

4. 检查配置文件语法：

   查看虚拟主机配置文件中的证书是否是正确的路径和名称。

   ssl_certificate /etc/nginx/certs/example.com.crt;
   ssl_certificate_key /etc/nginx/certs/example.com.key;

   确保路径正确且没有多余字符

预防措施

• 备份原始密钥对
• 使用自动化工具管理证书（如 certbot）
• 部署前用 openssl verify 检查证书链完整性

完整诊断流程建议

# 1. 检查证书有效期
openssl x509 -noout -dates -in /etc/nginx/certs/example.com.crt
# 2. 检查证书链完整性
openssl verify -CAfile /etc/nginx/certs/chain.crt /etc/nginx/certs/example.com.crt
# 3. 检查私钥是否有效
openssl rsa -check -in /etc/nginx/certs/example.com.key
# 4. 检查Nginx配置文件
nginx -t && nginx -s reload
# 5. 检查证书是否生效
openssl s_client -connect example.com:443

如果问题仍未解决，可能需要联系证书颁发机构确认证书是否正确签发。

Nginx 通过letsencrrypt、acme.sh、certbot申请证书

最重要的一步是要为虚拟主机配置一个验证使用的配置 /.well-known/acme-challenge/

upstream myservice {
    server 127.0.0.1:2020;
}
server {
    listen 80;
    server_name  myservice.thedf.cc;
    location ^~ /.well-known/acme-challenge/ {
        root /var/www/html;
        default_type "text/plain";
        try_files $uri =404;
    }
    location / { 
            proxy_pass http://myservice;
            proxy_redirect             off; 
            proxy_set_header           Host $host; 
            proxy_set_header           X-Real-IP $remote_addr; 
            proxy_set_header           X-Forwarded-For $proxy_add_x_forwarded_for; 
            client_max_body_size       0;
            client_body_buffer_size    128k;
            proxy_connect_timeout      300;
            proxy_send_timeout         300;
            proxy_read_timeout         300;
            proxy_buffer_size          4k;
            proxy_buffers              4 32k;
            proxy_busy_buffers_size    64k;
            proxy_temp_file_write_size 64k;
    }
}

后续申请命令（参考这篇文章《acme.sh 快速指南》）：

~/.acme.sh/acme.sh --issue -d myservice.thedf.cc -w /var/www/html/ --log

--