Нужно ли перезапускать Nginx, если я обновляю свои сертификаты безопасности?

Поэтому я настраиваю сервер nginx с включенным SSL с определением сервера примерно так:

server {
    listen :80;
    listen [::]:80;
    server_name example.org;
    root /foo/bar;

    ssl on;
    ssl_certificate /path/to/public/certificate;
    ssl_certificate_key /path/to/private/key;

    ...
}

Вы поняли (пожалуйста, прости любые опечатки).

Во всяком случае, то, что мне интересно, это; если я продляю свои сертификаты, есть ли способ установить их без перезапуска nginx?

Например, если бы я использовал символические ссылки от /path/to/public/certificateи /path/to/private/key, указывая на мой текущий сертификат (ы), мне все равно нужно было бы перезапустить, nginxесли бы я просто изменил их, чтобы они указывали на новые (обновленные) сертификаты? Есть ли альтернативы?

Да, я уверен, что вам потребуется перезагрузить Nginx, чтобы обновленные сертификаты отображали правильную дату истечения срока действия, но простая очистка кэша и просмотр должны позволить вам просмотреть это.

Или, если вы предпочитаете cli, вы всегда можете использовать старую доверенную команду OpenSSL:

echo | openssl s_client -connect your.domain.com:443 | openssl x509 -noout -dates

Это даст вам текущие даты в сертификате. В вашем случае порт будет 80 вместо 443.

Много раз nginx -s reloadне работает, как ожидалось. Во многих системах (Debian и т. Д.) Вам нужно будет использовать /etc/init.d/nginx reload.

Вы всегда можете указать файл конфигурации напрямую, если ничего не помогает, с помощью nginx -c /path/to/nginx.conf.

При получении SIGHUPnginx перезагрузит обновленную конфигурацию, проверит ее при открытии файлов журнала и чтении сертификатов SSL , а затем корректно завершит рабочие процессы, полагаясь на предыдущую конфигурацию.

Если случится так, что nginx не сможет прочитать некоторые сертификаты SSL, я продолжу работать, используя более старую конфигурацию. Иначе говоря, он продолжит функционировать и обрабатывать запросы независимо от того, что вы сделали с вашими конфигурационными файлами. Даже если они сломаны, ваши сайты все равно будут открыты.

Так что да, вам не нужно перезапускать nginx и рисковать переводом своего сервера в автономный режим более чем на несколько секунд, если вы хотите, чтобы nginx видел обновленные сертификаты. Этого должно быть достаточно для:

sudo service nginx reload

В большинстве современных дистрибутивов с systemd, используемым по умолчанию, вы также можете перезагрузить nginx с помощью следующей команды:

sudo systemctl reload nginx