Nginx多域名HTTPS配置与优化实践-代码聚汇网

Nginx多域名HTTPS配置与优化实践

王杰岸·2026-05-29·阅读 32 GEO检测（免费）

NginxHTTPS多域名配置

|难度：普通|阅读约 17 分钟

1. 多域名服务架构的现实挑战

在Web服务部署实践中，我们经常遇到这样的场景：同一台服务器需要承载多个独立域名的访问，每个域名都有独立的SSL证书要求，背后可能对应着完全不同的业务服务。传统单域名单证书的配置方式显然无法满足这种需求，而Nginx作为高性能的Web服务器和反向代理，其灵活的虚拟主机功能正好可以完美解决这个问题。

我最近在部署企业级应用时就遇到了典型的多域名需求：主站域名需要展示企业形象，API子域名要处理业务接口，管理后台需要独立认证，移动端还有专门的m子域名。这些服务运行在不同的后端端口，但都需要通过标准的443端口对外提供HTTPS服务。经过多次实践验证，我总结出一套稳定可靠的Nginx多域名配置方案，下面就把具体实现方法和避坑经验分享给大家。

需要模型API调用？免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。

2. 基础环境准备与证书管理

2.1 证书获取与存放规范

实现多域名HTTPS服务的第一步是准备好各个域名对应的SSL证书。根据我的经验，建议将所有证书文件按域名分类存放：

code复制/etc/nginx/ssl/
├── domain1.com
│   ├── fullchain.pem
│   └── privkey.pem
├── domain2.net
│   ├── fullchain.pem
│   └── privkey.pem
└── domain3.org
    ├── fullchain.pem
    └── privkey.pem

这种目录结构有三大优势：一是便于证书更新时不混淆不同域名的文件；二是Nginx配置中路径引用清晰；三是方便用脚本批量操作证书更新。证书文件权限应设置为640，私钥文件尤其要注意保护：

bash复制chmod 640 /etc/nginx/ssl/*/privkey.pem
chown root:nginx /etc/nginx/ssl/*/privkey.pem

2.2 Nginx基础配置调优

在开始多域名配置前，建议先对Nginx主配置文件(/etc/nginx/nginx.conf)进行必要优化：

nginx复制worker_processes auto;
events {
    worker_connections 1024;
    multi_accept on;
}

http {
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    server_tokens off;

    # 共享SSL会话缓存提升性能
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 24h;
    ssl_session_tickets off;
    
    # 现代加密套件配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384...';
    ssl_prefer_server_ciphers on;
    
    include /etc/nginx/conf.d/*.conf;
}

这些优化项特别适合多域名场景：共享SSL会话缓存可以减少TLS握手开销；现代加密套件确保安全性；server_tokens off隐藏Nginx版本信息提升安全性。

3. 多域名配置核心实现

3.1 基于Server Name的虚拟主机

Nginx的多域名核心机制是server_name指令，它通过HTTP请求中的Host头来区分不同的虚拟主机。下面是典型的多域名配置示例：

nginx复制# /etc/nginx/conf.d/domain1.com.conf
server {
    listen 443 ssl http2;
    server_name domain1.com www.domain1.com;
    
    ssl_certificate /etc/nginx/ssl/domain1.com/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/domain1.com/privkey.pem;
    
    location / {
        proxy_pass http://localhost:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

# /etc/nginx/conf.d/domain2.net.conf 
server {
    listen 443 ssl http2;
    server_name domain2.net api.domain2.net;
    
    ssl_certificate /etc/nginx/ssl/domain2.net/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/domain2.net/privkey.pem;
    
    location / {
        proxy_pass http://localhost:4000;
        include proxy_params;
    }
}

关键配置要点：

每个server块对应一个独立域名或域名组
所有server共享443端口但通过server_name区分
每个域名指定自己的证书路径
proxy_pass指向不同的后端服务端口

3.2 通配符证书与SAN证书的高级用法

对于拥有大量子域名的场景，可以考虑使用通配符证书或SAN证书：

nginx复制# 通配符证书配置示例
server {
    listen 443 ssl;
    server_name *.example.com;
    
    ssl_certificate /etc/nginx/ssl/wildcard.example.com/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/wildcard.example.com/privkey.pem;
    
    # 根据具体子域名路由到不同后端
    location / {
        if ($host = "app.example.com") {
            proxy_pass http://localhost:3001;
        }
        if ($host = "api.example.com") {
            proxy_pass http://localhost:3002;
        }
    }
}

重要提示：通配符证书只能匹配一级子域名，像test.demo.example.com这种情况需要额外配置。另外，过多的if语句会影响性能，超过5个子域名建议还是分开配置。

4. 性能优化与安全加固

4.1 OCSP Stapling配置

为每个域名启用OCSP Stapling可以显著提高TLS握手速度：

nginx复制server {
    listen 443 ssl;
    server_name domain1.com;
    
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/nginx/ssl/domain1.com/chain.pem;
    resolver 8.8.8.8 1.1.1.1 valid=300s;
    resolver_timeout 5s;
    
    # 其余配置...
}

配置后可以通过命令验证：

bash复制openssl s_client -connect domain1.com:443 -status -servername domain1.com

4.2 安全头部与访问控制

多域名环境下更需要注意安全防护：

nginx复制server {
    # ...其他基础配置
    
    # 安全头部
    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";
    add_header X-XSS-Protection "1; mode=block";
    add_header Referrer-Policy "strict-origin-when-cross-origin";
    
    # 管理后台专属配置
    if ($host = "admin.domain.com") {
        add_header Content-Security-Policy "default-src 'self'";
        allow 192.168.1.0/24;
        deny all;
    }
    
    # 静态资源缓存策略
    location ~* \.(jpg|jpeg|png|gif|ico|css|js)$ {
        expires 365d;
        add_header Cache-Control "public, immutable";
    }
}

5. 运维实践与问题排查

5.1 配置检查与重载技巧

每次修改配置后，建议按此流程操作：

bash复制# 检查语法
nginx -t

# 优雅重载(不中断连接)
nginx -s reload

# 查看当前加载的配置
nginx -T

遇到问题时，可以临时增加日志级别：

nginx复制server {
    error_log /var/log/nginx/domain1.error.log debug;
    
    location / {
        access_log /var/log/nginx/domain1.access.log buffer=32k flush=5m;
        # ...其他配置
    }
}

5.2 常见问题解决方案

问题1：证书不匹配错误

检查证书链是否完整：openssl x509 -in fullchain.pem -text -noout
确认server_name与证书CN/SAN匹配
验证私钥是否匹配：openssl rsa -noout -modulus -in privkey.pem | openssl md5

问题2：特定域名无法访问

检查DNS解析是否正确
确认Nginx配置中server_name拼写无误
查看端口是否被占用：ss -tulnp | grep 443

问题3：性能瓶颈

优化SSL会话缓存大小
启用HTTP/2提升并发性能
考虑使用ssl_buffer_size调整SSL记录大小

6. 自动化与扩展方案

对于管理大量域名的情况，可以考虑以下自动化方案：

使用Certbot自动续期证书：

bash复制certbot renew --nginx --post-hook "systemctl reload nginx"

配置自动化部署脚本：

bash复制#!/bin/bash
DOMAIN=$1
UPSTREAM=$2

cat > /etc/nginx/conf.d/${DOMAIN}.conf <<EOF
server {
    listen 443 ssl;
    server_name $DOMAIN;
    
    ssl_certificate /etc/nginx/ssl/$DOMAIN/fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/$DOMAIN/privkey.pem;
    
    location / {
        proxy_pass http://$UPSTREAM;
    }
}
EOF

nginx -t && nginx -s reload

使用Nginx Lua模块实现动态路由：

nginx复制server {
    listen 443 ssl;
    server_name ~^(.*)\.dynamic\.com$;
    
    set $subdomain $1;
    access_by_lua_block {
        local upstream = {
            ["web"] = "127.0.0.1:3000",
            ["api"] = "127.0.0.1:4000"
        }
        ngx.var.proxy_target = upstream[ngx.var.subdomain]
    }
    
    location / {
        proxy_pass http://$proxy_target;
    }
}

在实际生产环境中，我建议将不同业务类型的域名分开管理，比如静态资源使用CDN，API服务单独配置限流规则，管理后台设置IP白名单。对于特别重要的域名，可以考虑使用单独的Nginx worker进程来处理，通过设置listen指令的reuseport参数来提升性能：

nginx复制server {
    listen 443 ssl http2 reuseport;
    server_name critical.domain.com;
    # 其他配置...
}