Nginx反向代理配置与Let's Encrypt免费SSL证书申请详解

高性能 Web 服务器 Nginx 不仅是构建现代化网站的基石，也是对跨境代理流量进行隐蔽封装的核心构件。通过精细化的 Nginx反向代理配置 与 域名伪装SSL证书申请，可以将节点流量完美隐藏在正常的 HTTPS 网页请求背后，大幅提升节点的长期存活概率。

一、Certbot 命令行申请 Let's Encrypt 证书

除了通过宝塔面板一键申请证书外，在原生 Linux 系统（如 Ubuntu/Debian）中使用 Certbot 也是极简的选择：

1. 安装 Certbot 及 Nginx 插件：

   sudo apt update && sudo apt install certbot python3-certbot-nginx -y

2. 运行自动化签发命令：

   sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

3. 输入管理员邮箱并同意服务条款，Certbot 会自动验证域名所有权，生成证书链文件并更新 Nginx 的 443 端口监听设置。

二、高隐蔽 Nginx 反向代理示范配置文件

以下为一个集成了伪装静态页面与隐藏 WebSocket 路径分流的标准 nginx.conf 模板：

server {
    listen 80;
    server_name node.yourdomain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name node.yourdomain.com;

    ssl_certificate /etc/letsencrypt/live/node.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/node.yourdomain.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # 根路径呈现伪装的 3D 浮云或泡芙展示站点
    location / {
        root /var/www/html/souffle_site;
        index index.html;
    }

    # 隐藏节点代理 Websocket 分流路径
    location /puff-stream {
        proxy_redirect off;
        proxy_pass http://127.0.0.1:30001;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $http_host;
    }
}

三、省去配置烦恼，选择泡芙云全专线架构

虽然 Nginx 反向代理配置能够增强伪装，但每过 90 天维护一次证书、以及频繁测试防火墙更新依然耗费大量精力。泡芙云机场为你消除了全部运维顾虑：

• 开箱即用：在官网复制订阅链接，粘贴至 Clash 或 Clash Party 即可秒连出海。
• 顶级 IEPL 专线：基于企业级内网过境，无惧公网端口扫描。

四、本篇教程 FAQ 问答板块