Tôi có cần khởi động lại Nginx nếu tôi gia hạn (các) Chứng chỉ bảo mật của mình không?

Vì vậy, tôi đang thiết lập một máy chủ nginx có SSL được bật với định nghĩa máy chủ giống như:

server {
    listen :80;
    listen [::]:80;
    server_name example.org;
    root /foo/bar;

    ssl on;
    ssl_certificate /path/to/public/certificate;
    ssl_certificate_key /path/to/private/key;

    ...
}

Bạn có ý tưởng (xin vui lòng tha thứ cho bất kỳ lỗi chính tả).

Dù sao, điều tôi đang tự hỏi là; Nếu tôi gia hạn (các) chứng chỉ của mình, có cách nào để cài đặt chúng mà không phải khởi động lại nginx không?

Ví dụ: nếu tôi sử dụng các liên kết tượng trưng từ /path/to/public/certificatevà /path/to/private/key, chỉ vào (các) chứng chỉ hiện tại của tôi, tôi vẫn cần phải khởi động lại nginxnếu tôi chỉ đơn giản thay đổi các liên kết này để trỏ đến các chứng chỉ mới (được gia hạn)? Có những lựa chọn thay thế?

Có, tôi khá chắc chắn rằng bạn sẽ cần tải lại Nginx để chứng chỉ được gia hạn hiển thị ngày hết hạn chính xác, nhưng việc xóa bộ nhớ cache và duyệt đơn giản sẽ cho phép bạn xem điều này.

Hoặc nếu bạn thích cli, bạn luôn có thể sử dụng lệnh OpenSSL đáng tin cậy cũ:

echo | openssl s_client -connect your.domain.com:443 | openssl x509 -noout -dates

Điều đó sẽ cung cấp cho bạn những ngày hiện tại trên giấy chứng nhận. Trong trường hợp của bạn, cổng sẽ là 80 thay vì 443.

Nhiều lần nginx -s reloadkhông hoạt động như mong đợi. Trên nhiều hệ thống (Debian, v.v.), bạn sẽ cần sử dụng/etc/init.d/nginx reload .

Bạn luôn có thể chỉ định tệp cấu hình trực tiếp nếu tất cả các lỗi khác đều bị lỗi nginx -c /path/to/nginx.conf.

Khi nhận SIGHUPnginx sẽ tải lại cấu hình đã cập nhật, xác minh nó trong khi mở tệp nhật ký và đọc chứng chỉ SSL , sau đó tắt một cách duyên dáng các quy trình công nhân dựa trên cấu hình trước đó.

Nếu điều đó xảy ra là nginx không thể đọc một số chứng chỉ SSL, tôi sẽ tiếp tục chạy bằng cấu hình cũ hơn. Mặt khác, nó sẽ tiếp tục hoạt động và xử lý các yêu cầu bất kể bạn đã làm gì với các tệp cấu hình của mình. Ngay cả khi chúng bị hỏng, trang web của bạn vẫn sẽ mở.

Vì vậy, có, bạn không phải khởi động lại nginx và có nguy cơ đặt máy chủ của bạn ngoại tuyến trong hơn một vài giây nếu bạn muốn nginx thấy các bản cập nhật. Nó là đủ để:

sudo service nginx reload

Trong hầu hết các bản phân phối hiện tại với systemd được sử dụng theo mặc định, bạn cũng có thể tải lại nginx bằng lệnh sau:

sudo systemctl reload nginx