server {listen              443 ssl;server_name         www.example.com;ssl_certificate     www.example.com.crt;ssl_certificate_key www.example.com.key;ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers         HIGH:!aNULL:!MD5;#...
}

ssl_certificate     www.example.com.cert;
ssl_certificate_key www.example.com.cert;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers HIGH:!aNULL:!MD5;

worker_processes auto;http {ssl_session_cache   shared:SSL:10m;ssl_session_timeout 10m;server {listen              443 ssl;server_name         www.example.com;keepalive_timeout   70;ssl_certificate     www.example.com.crt;ssl_certificate_key www.example.com.key;ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers         HIGH:!aNULL:!MD5;#...}
}

$ cat www.example.com.crt bundle.crt > www.example.com.chained.crt

server {listen              443 ssl;server_name         www.example.com;ssl_certificate     www.example.com.chained.crt;ssl_certificate_key www.example.com.key;#...
}

SSL_CTX_use_PrivateKey_file(" ... /www.example.com.key") failed(SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch)

$ openssl s_client -connect www.godaddy.com:443
...
Certificate chain0 s:/C=US/ST=Arizona/L=Scottsdale/1.3.6.1.4.1.311.60.2.1.3=US/1.3.6.1.4.1.311.60.2.1.2=AZ/O=GoDaddy.com, Inc/OU=MIS Department/CN=www.GoDaddy.com/serialNumber=0796928-7/2.5.4.15=V1.0, Clause 5.(b)i:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=http://certificates.godaddy.com/repository/CN=Go Daddy Secure Certification Authority/serialNumber=079692871 s:/C=US/ST=Arizona/L=Scottsdale/O=GoDaddy.com, Inc./OU=http://certificates.godaddy.com/repository/CN=Go Daddy Secure Certification Authority/serialNumber=07969287i:/C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification Authority2 s:/C=US/O=The Go Daddy Group, Inc./OU=Go Daddy Class 2 Certification Authorityi:/L=ValiCert Validation Network/O=ValiCert, Inc./OU=ValiCert Class 2 Policy Validation Authority/CN=http://www.valicert.com//emailAddress=info@valicert.com
...

server {listen              80;listen              443 ssl;server_name         www.example.com;ssl_certificate     www.example.com.crt;ssl_certificate_key www.example.com.key;#...
}

server {listen          443 ssl;server_name     www.example.com;ssl_certificate www.example.com.crt;#...
}server {listen          443 ssl;server_name     www.example.org;ssl_certificate www.example.org.crt;#...
}

server {listen          192.168.1.1:443 ssl;server_name     www.example.com;ssl_certificate www.example.com.crt;#...
}server {listen          192.168.1.2:443 ssl;server_name     www.example.org;ssl_certificate www.example.org.crt;#...
}

具有多个名称的SSL证书

还有其他几种方法可以在多个HTTPS服务器之间共享一个IP地址。但是，它们都有缺点。一种方法是使用SubjectAltName证书字段中具有多个名称的证书，例如www.example.com和www.example.org。但是，SubjectAltName场的长度是有限的。

另一种方法是使用带有通配符名称的证书，例如*.example.org。通配符证书可保护指定域的所有子域，但只能在一个级别上。此证书匹配www.example.org，但不匹配example.org或www.sub.example.org。这两种方法也可以结合使用。证书在SubjectAltName字段中可能包含准确的名称和通配符名称。例如example.org和*.example.org。

最好将带有多个名称的证书文件及其私钥文件放在配置的http级别，以便它们在所有服务器之间继承单个内存副本：

ssl_certificate     common.crt;
ssl_certificate_key common.key;server {listen          443 ssl;server_name     www.example.com;#...
}server {listen          443 ssl;server_name     www.example.org;#...
}

服务器名称指示

TLS服务器名称指示  （SNI）扩展（RFC 6066）是在单个IP地址上运行多个HTTPS服务器的更通用的解决方案，它允许浏览器在SSL握手期间传递请求的服务器名称。使用此解决方案，服务器将知道它应使用哪个证书进行连接。但是，SNI的浏览器支持有限。当前从以下浏览器版本开始受支持：

• Opera 8.0
• MSIE 7.0（但仅在Windows Vista或更高版本上）
• Firefox 2.0和其他使用Mozilla Platform rv：1.8.1的浏览器
• Safari 3.2.1（Windows版本在Vista或更高版本上支持SNI）
• Chrome（Windows版本在Vista或更高版本上也支持SNI）

SNI中只能传递域名。但是，如果请求包含文字IP地址，则某些浏览器会将服务器的IP地址作为名称传递。最好不要依赖于此。

为了在NGINX中使用SNI，必须在构建NGINX二进制文件的OpenSSL库以及在运行时动态链接的库中都支持SNI。如果使用配置构建，则OpenSSL从0.9.8f版本开始支持SNI 。从OpenSSL版本0.9.8j开始，默认情况下启用此选项。如果NGINX是使用SNI支持构建的，则在使用该开关运行时，NGINX将显示以下内容：option --enable-tlsext-V

$ nginx -V
...
启用TLS SNI支持
...

但是，如果启用了SNI的NGINX动态链接到不支持SNI的OpenSSL库，则NGINX将显示警告：

NGINX was built with SNI support, however, now it is linked
dynamically to an OpenSSL library which has no tlsext support,
therefore SNI is not available