随着互联网的发展，网站的安全性越来越受到重视，尤其是涉及到用户隐私和敏感信息的网站。ssl证书已经成为保障网站安全的重要措施之一。而nginx，作为一款高性能的web服务器，也支持ssl证书。本文将介绍如何优化nginx的ssl握手和证书链，提高网站的安全性能。
- SSL握手
SSL握手是SSL/TLS协议中非常重要的一部分，它确保了客户端和服务器之间的通信是安全的。Nginx支持SSL握手的优化可以通过以下两种方式来实现：
1.1 开启SSL会话重用
SSL会话重用是一种通过保存SSL会话ID和密钥来提高SSL握手效率的技术。在SSL握手过程中，客户端和服务器之间需要交换证书，进行加密密钥协商等操作，这些操作会占用很多时间和资源。而开启SSL会话重用可以让客户端和服务器在后续的SSL握手过程中直接使用以前建立的SSL连接，避免了重复的计算密钥和握手操作，从而提高了SSL握手的效率。
在Nginx中开启SSL会话重用非常简单，只需要在SSL配置块中添加以下指令即可：
ssl_session_cache shared:SSL:10m; ssl_session_timeout 5m;
其中，ssl_session_cache指定了SSL会话缓存的方式和名称，这里使用了共享内存缓存，并指定了10M的缓存大小。ssl_session_timeout指定了SSL会话的过期时间，这里设置为5分钟。
1.2 选择合适的SSL加密套件
SSL握手过程中，客户端和服务器之间需要选择一种加密算法来保护通信数据的安全性。不同加密算法的安全性和效率是不同的，因此选择合适的SSL加密套件可以提高SSL握手的效率和安全性。
在Nginx中，可以使用ssl_ciphers指令指定SSL加密套件，例如：
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA;
这里选择了一组安全性较高的SSL加密套件，包括ECDHE、DHE和AES等加密算法。
- 证书链
SSL证书是建立HTTPS连接的重要组成部分，证书链是SSL证书验证的关键之一。为了提高证书链的安全性，Nginx支持以下两种优化方式。
2.1 使用HTTP/2协议
HTTP/2协议是一种新的网络协议，其在传输层使用TLS/SSL协议，可以直接启用了TLS加密。使用HTTP/2协议可以避免中间人攻击以及SSL证书被篡改的问题，进一步提高了证书链的安全性。
在Nginx中，启用HTTP/2协议非常简单，只需要在SSL配置块中添加以下指令即可：
listen 443 ssl http2;
其中，http2指定服务器使用HTTP/2协议。
2.2 安装证书链
SSL证书是由数字证书颁发机构（CA）签发的，证书链包括了SSL证书颁发机构的证书和中间证书等，可以证明SSL证书的真实性和完整性。为了提高证书链的安全性，建议将完整的证书链安装在服务器上。
Nginx中安装证书链非常简单，只需要将证书链文件放到指定位置即可：
ssl_certificate /path/to/fullchain.pem; ssl_certificate_key /path/to/privkey.pem;
其中，fullchain.pem是完整的证书链文件，privkey.pem是SSL证书的私钥文件。
总之，Nginx的SSL握手和证书链是保障网站安全的非常重要的组成部分，通过优化SSL握手和证书链，可以提高网站的安全性能，防止中间人攻击和SSL证书伪造等安全威胁。
