| DHE | 有限域 DH，需要足够大的素数（2048+） |
|---|---|
| ECDHE | 椭圆曲线 DH，更快更短，首选 |
| 临时性 | 每次会话新密钥对，才有前向保密；静态 DH 复用密钥则没有 |
检查与生成参数
检查与生成参数
openssl s_client -connect example.com:443 -cipher 'DHE-RSA-AES128-GCM-SHA256' </dev/null 2>/dev/null | grep -i 'server temp key'
openssl dhparam -out dh2048.pem 2048 # 需要时供服务端使用（较慢）nginx 用 ECDHE 时无需手工 dhparam；仅兼容老套件 DHE 才需要。