CBC模式的加密算法容易受到一些攻击，尤其是BEAST攻击（参见CVE-2011-3389）。可以通过下面配置调整为优先使用RC4-SHA加密算法：

    ssl_ciphers RC4:HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;

优化参数：

SSL操作占用额外的CPU资源。多处理器系统工人过程应该运行，不少于可用CPU核心的数量。最密集的CPU操作是SSL握手.有两种方法可以最大限度地减少每个客户端的这些操作数：第一种方法是启用保活连接通过一个连接发送多个请求，第二个连接是重用SSL会话参数，以避免对并行连接和后续连接进行SSL握手。会话存储在工作人员共享的ssl会话缓存中，并由SSL会话缓存指令。一个兆字节的缓存包含大约4000个会话。默认的缓存超时为5分钟。可以通过使用SSL会话超时指令。下面是为具有10 MB共享会话缓存的多核系统优化的示例配置：

worker_processes auto;

http {
    ssl_session_cache   shared:SSL:10m;
    ssl_session_timeout 10m;

    server {
        listen              443 ssl;
        server_name         www.example.com;
        keepalive_timeout   70;

        ssl_certificate     www.example.com.crt;
        ssl_certificate_key www.example.com.key;
        ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers         HIGH:!aNULL:!MD5;
        ...

默认配置：

server {
        listen       443 ssl;	
        server_name  localhost;

        ssl_certificate      cert.pem;		
        ssl_certificate_key  cert.key;		

		
        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;		
        ssl_prefer_server_ciphers  on;

        location / {
            root   html;
            index  index.html index.htm;
        }
    }

2. 配置https服务器

环境说明

已关闭防火墙和selinux，并配置好了yum源，包括epel源

#证书位置
[root@www ~]# ls /usr/local/nginx/ssl/
www.test.com.crt  www.test.com.key

#配置https,取消注释，修改相关配置参数
[root@www ~]# vim /usr/local/nginx/conf/nginx.conf
......

    # HTTPS server

    server {
        listen       443 ssl;
        server_name  localhost;

        ssl_certificate      cert.pem;
        ssl_certificate_key  cert.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;

        location / {
            root   html;
            index  index.html index.htm;
        }
    }


......

访问测试

3. 配置http/https服务器

配置一台同时处理HTTP和HTTPS请求的服务器：

[root@www ~]# vim /usr/local/nginx/conf/nginx.conf
......
server {
        listen       80;
        listen       443 ssl;
        server_name  www.test.com;

        ssl_certificate      /usr/local/nginx/ssl/www.test.com.crt;
        ssl_certificate_key  /usr/local/nginx/ssl/www.test.com.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;

        location / {
            root   html;
            index  index.html index.htm;
        }
    }
......
[root@www ~]# nginx -s reload