利用 acme.sh 获取网站证书并配置https访问

 

 

acme.sh 实现了 acme 协议, 能够从 letsencrypt 生成免费的证书.（https://github.com/Neilpang/acme.sh/wiki/%E8%AF%B4%E6%98%8E）

主要步骤:

1. 安装 acme.sh
2. 生成证书
3. copy 证书到 nginx/apache 或者其余服务
4. 更新证书
5. 更新 acme.sh
6. 出错怎么办, 如何调试

下面详细介绍.

 1. 安装 acme.sh

安装很简单, 一个命令:

curl  https://get.acme.sh | sh

普通用户和 root 用户均可以安装使用. 安装过程进行了如下几步:

1. 把 acme.sh 安装到你的 home 目录下:

~/.acme.sh/

并建立 一个 bash 的 alias, 方便你的使用: alias acme.sh=~/.acme.sh/acme.sh

2). 自动为你建立 cronjob, 天天 0:00 点自动检测全部的证书, 若是快过时了, 须要更新, 则会自动更新证书.

更高级的安装选项请参考: https://github.com/Neilpang/acme.sh/wiki/How-to-install

安装过程不会污染已有的系统任何功能和文件, 全部的修改都限制在安装目录中: ~/.acme.sh/

 

2. 生成证书

acme.sh 实现了 acme 协议支持的全部验证协议. 通常有两种方式验证: http 和 dns 验证.

1. http 方式须要在你的网站根目录下放置一个文件, 来验证你的域名全部权,完成验证. 而后就能够生成证书了.

acme.sh  --issue  -d mydomain.com -d www.mydomain.com  --webroot  /home/wwwroot/mydomain.com/

只须要指定域名, 并指定域名所在的网站根目录. acme.sh 会全自动的生成验证文件, 并放到网站的根目录, 而后自动完成验证. 最后会聪明的删除验证文件. 整个过程没有任何反作用.

若是你用的 apache服务器, acme.sh 还能够智能的从 apache的配置中自动完成验证, 你不须要指定网站根目录:

acme.sh --issue  -d mydomain.com   --apache

若是你用的 nginx服务器, 或者反代, acme.sh 还能够智能的从 nginx的配置中自动完成验证, 你不须要指定网站根目录:

acme.sh --issue  -d mydomain.com   --nginx

注意, 不管是 apache 仍是 nginx 模式, acme.sh在完成验证以后, 会恢复到以前的状态, 都不会私自更改你自己的配置. 好处是你不用担忧配置被搞坏, 也有一个缺点, 你须要本身配置 ssl 的配置, 不然只能成功生成证书, 你的网站仍是没法访问https. 可是为了安全, 你仍是本身手动改配置吧.

若是你尚未运行任何 web 服务, 80 端口是空闲的, 那么 acme.sh 还能伪装本身是一个webserver, 临时听在80 端口, 完成验证:

acme.sh  --issue -d mydomain.com   --standalone

更高级的用法请参考: https://github.com/Neilpang/acme.sh/wiki/How-to-issue-a-cert

2. dns 方式, 在域名上添加一条 txt 解析记录, 验证域名全部权.

dns方式实际上是acme.sh经过调用各个域名服务商的api添加TXT记录验证全部权这样的流程，因此须要考虑的是如何让acme.sh添加记录后及时生效，默认acme.sh会等待120秒后开始验证，可是不少DNS解析有120秒每每没法完成，因此此处建议使用dnspod（https://www.dnspod.cn）

dns 方式的真正强大之处在于可使用域名解析商提供的 api 自动添加 txt 记录完成验证.

acme.sh 目前支持 cloudflare, dnspod, cloudxns, godaddy 以及 ovh 等数十种解析商的自动集成.

以 dnspod 为例, 你须要先登陆到 dnspod 帐号, 生成你的 api id 和 api key, 都是免费的. 而后:

export DP_Id="你建立的api token的id"

export DP_Key="你建立的api token的token"

acme.sh   --issue   --dns dns_dp   -d 你的域名  -d www.你的域名

若是你想为你的每一个二级域名建立证书 这里能够用到泛域名证书 ，将最后一行代码改成

acme.sh --issue --dns dns_dp -d *.你的域名 -d 你的域名

这样你全部的二级域名和域名自己都获取了证书，若是证书获取成功，会在屏幕上打印出证书存放路径

在配置Nginx 的配置 ssl_certificate 时使用 fullchain.cer

server {
        listen       443 ssl;
        server_name  localhost;

        location / {
            #代理到那个服务器 这里http://hz  指的是上面upstream 中的 hz
             proxy_pass http://hz;
             index index.html index.htm;
         }

        ssl_certificate      /root/.acme.sh/*.hz1202.com/fullchain.cer;
        ssl_certificate_key  /root/.acme.sh/*.hz1202.com/*.hz1202.com.key;

        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;

        ssl_ciphers  HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers  on;
    }