开始HTTPS之旅
- 获取Certbot客户端
wget https://dl.eff.org/certbot-auto
mkdir /scripts
mv certbot-auto /scripts/
chmod a+x /scripts/certbot-auto
- 生成证书
#生成通配符证书
/scripts/certbot-auto --server https://acme-v02.api.letsencrypt.org/directory -d "*.mydomain.com" --manual --preferred-challenges dns-01 certonly
#生成域名对应证书
./certbot-auto certonly --standalone --email `你的邮箱地址` -d `你的域名地址`
#当有多个域名的时候
./certbot-auto certonly --standalone --email `你的邮箱地址` -d `你的域名1` -d `你的域名2`
#按照要求去修改域名解析的配置。添加txt解析。
- 查看生产的证书
tree /etc/letsencrypt/live/
- 将证书用于nginx
在nginx的配置文件中添加
ssl on;
access_log off;
ssl_certificate /etc/letsencrypt/live/mydomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mydomain.com/privkey.pem;
#ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ALL:!DH:!EXPORT:!RC4:+HIGH:+MEDIUM:-LOW:!aNULL:!eNULL;
ssl_prefer_server_ciphers on;
#ssl_ciphers AES256+EECDH:AES256+EDH:!aNULL;
- 重新加载nginx或则重启
/etc/init.d/nginx reload
通配域名自动续期
- Let’s Encrypt颁发的通配符证书每次续期需要验证一下DNS的TXT记录，这个TXT记录的值是会发生变化的。所以续期时候需要更改下DNS的TXT记录。网上流传的都是php版本的脚本。还要写shell+php，挺麻烦的。这里在网上查找另一个作者用go写了一个更新DNS记录的小程序。
报错代码
The error was: PluginError(‘An authentication script must be provided with —manual-auth-hook when using the manual plugin non-interactively.’,). Skipping.
All renewal attempts failed. The following certs could not be renewed:
- 先配置两个环境变量，最好写在/etc/profile，或者.bashrc里面，然后执行source生效
# 阿里云的access key和secret,这个可以是ram子账户授权
export CERTBOT_ALI_KEY=""
export CERTBOT_ALI_SECRET=""
- 下载certbot-alidns放到/usr/bin/就可以了。
编译好的下载，Linux版本,其他版本请自行编译；
链接: https://pan.baidu.com/s/1zk3iM-KTbJr941frtFYJkw 提取码: uxe5
/scripts/certbot-auto renew --cert-name *.mydomain.com --manual-auth-hook /usr/bin/certbot-alidns && /etc/init.d/nginx reload
- 将此程序添加到计划任务即可完成自动续签。
vim /etc/crontab
#添加如下行
0 4 18 * * root /scripts/certbot-auto renew --manual-auth-hook /scripts/certbot-alidns >> /tmp/certbot.log
该小程序的源码
package main
import (
"fmt"
"github.com/denverdino/aliyungo/dns"
"os"
"time"
)
var certbot_ali_key string
var certbot_ali_secret string
func init() {
// 定义阿里云的访问key和secret
certbot_ali_key = os.Getenv("CERTBOT_ALI_KEY")
certbot_ali_secret = os.Getenv("CERTBOT_ALI_SECRET")
// 判断阿里云的key和secret是否存在
if certbot_ali_key == "" || certbot_ali_secret == "" {
fmt.Println("请设置环境变量CERTBOT_ALI_KEY和CERTBOT_ALI_SECRET")
os.Exit(1)
}
}
func main() {
client := dns.NewClient(certbot_ali_key, certbot_ali_secret)
var args = new(dns.DescribeDomainRecordsArgs)
args.DomainName = os.Getenv("CERTBOT_DOMAIN")
args.RRKeyWord = "_acme-challenge"
args.TypeKeyWord = "TXT"
res, err := client.DescribeDomainRecords(args)
if err == nil {
records := res.DomainRecords.Record
// 记录大于1执行更新，小于1执行创建
if len(records) > 0 {
for i := 0; i < len(records); i++ {
var update_args = new(dns.UpdateDomainRecordArgs)
update_args.RecordId = records[i].RecordId
update_args.RR = "_acme-challenge"
update_args.Value = os.Getenv("CERTBOT_VALIDATION")
update_args.Type = "TXT"
res, err := client.UpdateDomainRecord(update_args)
if err == nil {
fmt.Println("更新成功:", res.RecordId)
time.Sleep(time.Duration(20) * time.Second)
} else {
fmt.Println("更新失败:", err.Error())
os.Exit(2)
}
}
} else {
// 执行创建操作
var add_args = new(dns.AddDomainRecordArgs)
add_args.DomainName = os.Getenv("CERTBOT_VALIDATION")
add_args.RR="_acme-challenge"
add_args.Value=os.Getenv("CERTBOT_VALIDATION")
add_args.Type="TXT"
res,err:=client.AddDomainRecord(add_args)
if err == nil {
fmt.Println("创建成功:", res.RecordId)
time.Sleep(time.Duration(20) * time.Second)
} else {
fmt.Println("创建失败:", err.Error())
os.Exit(2)
}
}
}
}
