Чи потрібно мені перезавантажувати Nginx, якщо я поновлюю свій сертифікат безпеки?

Тож я налаштовую сервер nginx із включеним SSL із визначенням сервера приблизно так:

server {
    listen :80;
    listen [::]:80;
    server_name example.org;
    root /foo/bar;

    ssl on;
    ssl_certificate /path/to/public/certificate;
    ssl_certificate_key /path/to/private/key;

    ...
}

Ви отримуєте ідею (пробачте про помилки).

У всякому разі, що мені цікаво; якщо я поновлю свої сертифікати, чи є спосіб їх встановити без необхідності перезавантажувати nginx?

Наприклад, якби я використовував символічні посилання з /path/to/public/certificateі /path/to/private/key, вказуючи на свої поточні сертифікати, мені все-таки потрібно перезапустити, nginxякби я просто змінив їх, щоб вказати на нові (оновлені) сертифікати? Чи є альтернативи?

Так, я впевнений, що вам потрібно буде перезавантажити Nginx, щоб оновлені сертифікати відображали правильну дату закінчення терміну придатності, але просте очищення кешу та перегляд повинно дозволяти вам переглянути це.

Або якщо ви віддаєте перевагу cli, ви завжди можете використовувати стару надійну команду OpenSSL:

echo | openssl s_client -connect your.domain.com:443 | openssl x509 -noout -dates

Це дасть вам поточні дати у сертифікаті. У вашому випадку порт буде 80, а не 443.

Багато разів nginx -s reloadне працює, як очікувалося. У багатьох системах (Debian тощо) вам потрібно було б користуватися /etc/init.d/nginx reload.

Ви завжди можете вказати файл конфігурації безпосередньо, якщо все інше не вдалося, до nginx -c /path/to/nginx.conf.

Після отримання SIGHUPnginx перезавантажить оновлену конфігурацію, перевірить її під час відкриття файлів журналів та читання сертифікатів SSL , а потім витончено закриє робочі процеси, спираючись на попередню конфігурацію.

Якщо так станеться, що nginx не може прочитати деякі сертифікати SSL, я продовжуватиму працювати, використовуючи старіші конфігурації. Інакше кажучи, він буде продовжувати функціонувати та обробляти запити незалежно від того, що ви робили зі своїми конфігураційними файлами. Навіть якщо вони порушені, ваші веб-сайти все одно відкриються.

Так що так, вам не доведеться перезавантажувати nginx і ризикувати вимкнути ваш сервер в автономному режимі більше ніж кілька секунд, якщо ви хочете, щоб nginx бачив оновлені серти. Його має бути достатньо для:

sudo service nginx reload

У більшості поточних дистрибутивів з systemd, використовуваними за замовчуванням, ви також можете перезавантажити nginx за допомогою наступної команди:

sudo systemctl reload nginx