Nginx反向代理中的SSL证书监控

SSL证书监控是确保网站安全性和可用性的重要环节，特别是在使用Nginx作为反向代理时。以下是关于Nginx反向代理中SSL证书监控的全面指南：

为什么需要监控SSL证书

1. 防止证书过期：过期的SSL证书会导致网站无法访问
2. 确保安全性：监控证书配置是否符合最佳安全实践
3. 合规要求：满足PCI DSS等合规标准
4. 用户体验：避免用户看到安全警告

监控方法

1. 使用openssl命令行工具

# 检查证书过期时间
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -dates

# 检查证书详细信息
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -text

2. 使用Nginx状态模块

在Nginx配置中添加：

server {
    listen 127.0.0.1:8080;
    server_name localhost;

    location /cert-status {
        stub_status on;
        access_log off;
        allow 127.0.0.1;
        deny all;
    }
}

3. 使用专业监控工具

• Prometheus + Blackbox Exporter：定期探测SSL证书状态
• Nagios/Icinga：通过插件监控证书
• Zabbix：使用自定义脚本监控
• Certbot：自带证书续期提醒功能

4. 使用在线服务

• SSL Labs (https://www.ssllabs.com/ssltest/)
• Let's Monitor (https://letsmonitor.org/)
• Keychest (https://keychest.net/)

自动化监控脚本示例

#!/bin/bash

DOMAIN="yourdomain.com"
WARNING_DAYS=30

expiry_date=$(openssl s_client -connect $DOMAIN:443 -servername $DOMAIN 2>/dev/null | openssl x509 -noout -enddate | cut -d= -f2)
expiry_epoch=$(date -d "$expiry_date" +%s)
current_epoch=$(date +%s)
days_left=$(( (expiry_epoch - current_epoch) / 86400 ))

if [ $days_left -lt $WARNING_DAYS ]; then
    echo "WARNING: SSL certificate for $DOMAIN expires in $days_left days!"
    # 可以添加邮件或Slack通知逻辑
    exit 1
else
    echo "OK: SSL certificate for $DOMAIN expires in $days_left days."
    exit 0
fi

Nginx最佳实践

1. 证书自动续期：

   certbot renew --nginx --quiet --no-self-upgrade --post-hook "systemctl reload nginx"
   

2. 配置HSTS：

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   

3. 使用强加密套件：

   ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
   

4. OCSP Stapling：

   ssl_stapling on;
   ssl_stapling_verify on;
   resolver 8.8.8.8 8.8.4.4 valid=300s;
   resolver_timeout 5s;
   

监控指标建议

1. 证书剩余有效期天数
2. 证书链完整性
3. 使用的加密算法强度
4. OCSP响应状态
5. HSTS配置状态
6. 证书颁发机构(CA)可信度

告警策略

1. 证书将在30天内过期 - 警告
2. 证书将在7天内过期 - 严重
3. 证书链不完整 - 严重
4. 使用弱加密算法 - 警告
5. OCSP Stapling配置错误 - 警告

通过实施这些监控措施，您可以确保Nginx反向代理中的SSL证书始终处于健康状态，避免因证书问题导致的服务中断。