TLS 终结：证书放网关

TLS 在网关终结：证书与握手都在 Nginx 等反代上完成，后端引擎内网明文通信；对外域名用受信 CA 证书，内部链路按威胁模型决定是否再加一层。

大模型部署与运维速查AI更新于 2026-10-12

Nginx 片段

server {
    listen 443 ssl;
    server_name <域名>;
    ssl_certificate     /etc/nginx/ssl/<证书>.pem;
    ssl_certificate_key /etc/nginx/ssl/<私钥>.key;
    location / { proxy_pass http://127.0.0.1:8000; }
}

证书续期自动化与到期监控一起做；切换证书前先用 nginx -t 校验配置。

易错点

引擎层也挂 TLS 再被网关转发：多一层握手与维护成本，威胁模型先想清楚

数据来源与参考

Nginx 官方文档：ssl_certificate（nginx.org/en/docs）
Let's Encrypt 文档（letsencrypt.org/docs）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌