https申请免费证书

一、参考

域名安全验证

Generate Wildcard SSL certificate using Let’s Encrypt/Certbot

CentOS 7: Auto-renew Let’s Encrypt SSL certificates using crontab

certbot user guide

一、环境准备

1.1 一个域名

1.2 一台服务器

二、安装ssl证书

2.1 安装certbot

yum install certbot

查看版本信息

certbot --version

certbot 1.9.0

2.2 命令行生成证书

# 命令行参数如下
# email, 证书到期告警邮箱
# server, letsencrypt证书签发服务器
# d, 需要申请证书的域名

certbot certonly --manual 
  --preferred-challenges=dns 
  --email 15951606335@163.com 
  --server https://acme-v02.api.letsencrypt.org/directory 
  --agree-tos 
  --manual-public-ip-logging-ok 
  -d www.test.com

2.3 配置主机记录与记录值

(1) 需要先添加一条A类型记录

(2) 配置txt类型的记录

2.4 生成证书

证书保存目录为

/etc/letsencrypt/live/www.test.com

三、配置nginx

3.1 配置http重定向

server {

    listen 80 default_server;
    listen [::]:80 default_server;
    return 301 https://$host$request_uri;
}

3.2 配置ssl


   server {
        listen       443 ssl http2 default_server;
        listen       [::]:443 ssl http2 default_server;
        server_name  poetry.yzthewind.com;
        root         /usr/share/nginx/html;

        ssl_certificate "/etc/letsencrypt/live/www.test.com/fullchain.pem";
        ssl_certificate_key "/etc/letsencrypt/live/www.test.com/privkey.pem";

        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
        ssl_prefer_server_ciphers off;
           
        include /etc/nginx/default.d/*.conf;

        location / {
        }

        error_page 404 /404.html;
        location = /404.html {
        }

        error_page 500 502 503 504 /50x.html;
        location = /50x.html {
        }

3.3 重启nginx

service restart nginx

四、其他

4.1 查看过期时间

一般证书过期时间为3个月，可以使用下面的两个命令

(1)

openssl x509 -noout -dates -in /etc/letsencrypt/live/www.test.com/cert.pem

(2)

certbot certificates

4.2 自动更新证书有效期

利用crontab -e 创建一个新的定期任务，执行证书更新

#每个月11号自动更新
0 0 11 * * /usr/bin/certbot renew >> /home/certbot.log 2>&1