不过瘾？再折腾 HTTP/2 (检测)、TLS 1.3 (检测) 和 HSTS (检测)，力求在 SSL Server Test 达到 A+！

1. 安装新版 OpenSSL (新版本见)。要启用 TLS 1.3，起码得 1.1.1 以上才行。

   cd /usr/local/src wget https://www.openssl.org/source/openssl-1.1.1d.tar.gz && tar zxf openssl-1.1.1d.tar.gz && cd openssl-1.1.1d

   ./config --prefix=/usr/local/openssl make && make install

2. 替换掉旧版，尔后以 openssl version 判断是否升级完成。

   mv /usr/bin/openssl /usr/bin/openssl.old mv /usr/include/openssl /usr/include/openssl.old ln -s /usr/local/openssl/bin/openssl /usr/bin/openssl ln -s /usr/local/openssl/include/openssl /usr/include/openssl

   echo "/usr/local/openssl/lib/" >> /etc/ld.so.conf ldconfig -v

3. nginx -V 列出现有的参数。追加参数 --with-openssl=../openssl-1.1.1d 后，重新编译 Nginx。

   cd /usr/local/src/nginx-1.16.1

   ./configure
   --with-http_ssl_module
   --with-http_v2_module
   --with-http_sub_module
   --with-openssl=../openssl-1.1.1d

   make mv /usr/local/nginx/sbin/nginx /usr/local/nginx/sbin/nginx.old cp objs/nginx /usr/local/nginx/sbin/nginx make upgrade

4. 回去编辑 server.conf (至于 Cipher Suites 的部分，不妨参考下 Cloudflare 的配置)。另外提醒 HSTS 是浏览器端直接强制 HTTPS，而非 HTTP 301 重定向至 HTTPS，如不确定后续会否继续使用 HTTPS，请注释掉那行代码。

   server { ... listen 443 ssl http2; ssl_protocols TLSv1.3; add_header Strict-Transport-Security 'max-age=63072000; includeSubDomains; preload'; ... }

⚠️ 如果前面使用的 Certbot，要么注释掉 include /etc/letsencrypt/options-ssl-nginx.conf;，要么不用加 ssl_protocols TLSv1.3;。