给网站添加Let's Encrypt的免费ssl证书

概要

目前很多浏览器默认都会标记http访问的网站为不安全，https部署已经称为大趋势，我之前利用业余时间搭建了一个网站，本文就以这个域名为基础说明如何给网站加上证书。本文使用的操作系统centos、软件使用nginx、域名是bingimg.cn

什么是 Let's Encrypt

当我们要为网站加上https的访问时，我们必须申请https证书，证书的申请一般是要去有证书颁发资质的机构(CA)去申请，并且在CA申请的证书一般需要按年缴一定的维护费用，作为个人搭建的学习型网站，我们找到了一个免费的证书颁发组织，Let's Encrypt 就是一个由非营利性组织 互联网安全研究小组（ISRG）提供的免费、自动化和开放的证书颁发机构（CA）。

简单的说，借助 Let's Encrypt 颁发的证书可以为我们的网站免费启用 HTTPS(SSL/TLS) 。Let's Encrypt免费证书的签发/续签都是脚本自动化的，官方提供了几种证书的申请方式方法，点击此处 快速浏览。官方推荐使用 Certbot 客户端来签发证书，这种方式可参考文档自行尝试，不做评价。我这里直接使用第三方客户端 acme.sh 申请，据了解这种方式可能是目前 Let's Encrypt 免费证书客户端最简单、最智能的 shell 脚本，可以自动发布和续订 Let's Encrypt 中的免费证书。

为了实现自动化证书管理Let's Encryp制订了ACME 协议，这个协议是 Let's Encrypt 实现证书签发流程自动化的根本。目前ACME 协议已正式成为 IETF 标准(RFC 8555)。而acme.sh是一个第三方的脚本工具，其实现了ACME协议的内容。本文我们将使用这个工具来下载，安装，部署证书。

安装 acme.sh

首先我们需要将acme.sh工具安装在在系统上，安装很简单，一条命令：

curl https://get.acme.sh | sh

整个安装过程进行了以下几步(这是安装命令自动完成的)，了解一下即可：

1. 把 acme.sh 安装到当前用户的主目录$HOME下的.acme.sh文件夹中，即~/.acme.sh/之后所有生成的证书也会放在这个目录下；

2. 创建了一个指令别名alias acme.sh=~/.acme.sh/acme.sh这样我们可以通过acme.sh命令方便快速地使用 acme.sh 脚本；

3. 自动创建cronjob定时任务, 每天 0:00 点自动检测所有的证书，如果快过期了，则会自动更新证书。

安装命令执行完毕后，执行acme.sh --version确认是否能正常使用acme.sh命令。

https://github.com/Neilpang/acme.sh
v2.7.9

如有版本信息输出则表示环境正常；如果提示命令未找到，执行source ~/.bashrc命令重载一下环境配置文件。

整个安装过程不会污染已有的系统任何功能和文件，所有的修改都限制在安装目录~/.acme.sh/中，这个脚本被安装之后，会自动往crontab中添加一条定时任务，我的机器上看到的是下面这条：

48 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

生成证书

据 acme.sh 官方文档介绍，其实现了 acme 协议支持的所有验证协议，一般有两种方式验证：http 和 dns 验证。

也就是我们有两种选择签发证书，这里我直接选择 http 验证方式，另外一种方式本篇不做介绍，可参考文档自行尝试。

签发证书也很简单，一条命令：

acme.sh --issue -d bingimg.cn -d www.bingimg.cn -w /data/bingimg/static

简单解释下这条命令涉及的几个参数：

  • --issue是 acme.sh 脚本用来颁发证书的指令；
  • -d是--domain的简称，其后面须填写已备案的域名；
  • -w是--webroot的简称，其后面须填写网站的根目录

最后一个 -w 参数其实不一定非要是网站的根目录，只不过指定的这个目录，随后acme.sh会将一个文件放到这个目录下，并且尝试去访问这个目录的这个文件，只要我们配置nginx让他能够访问到就可以，不一定非要是根目录。不过我经过上面的设置之后，报错了：

按照提示我们添加一个  --debug 选项之后继续运行这个命令，以便能看到详细的报错信息：

acme.sh --issue -d bingimg.cn -d www.bingimg.cn -w /data/bingimg/static --debug

其提示从网站根目录访问他生成的文件路径访问不到，因为我们指定的目录是 /data/bingimg/static 这个并不是网站根目录，我们只需配置一下nginx让他能够访问到这个文件即可，重新配置nginx之后再次运行上面的acme.sh命令，输出没有任何报错，知道最后成功，最后的输出如下：

生成好之后如果发现少了一个域名，需要另外在生成一个域名，因为之前已经生成过两个域名，在生成会报错，我们可以加上参数 --force 强制重新生成：

acme.sh --issue -d bingimg.cn -d www.bingimg.cn -d pc.bingimg.cn -w /data/bingimg/static --debug --force

可以看出我们加了一个域名  pc.bingimg.cn 但是报错，看报错的意思是，没有找到这个域名的dns记录，所以我们只需要在域名解析服务那里为这个域名添加一条dns记录，在重新运行上面的命令就可以了。到此证书下载成功，我们生成的证书可以给 bingimg.cn、www.bingimg.cn、pc.bingimg.cn 这3个域名使用，证书被放在  /root/.acme.sh/bingimg.cn/ 目录下。另外我们可以通过下面的命令查看和删除已经生成的证书：

# 查看证书列表
acme.sh --list 

# 删除证书
acme.sh remove <SAN_Domains>

安装证书

下面我们就将下载下来的证书安装到网站上，这里主要说明如何将证书安装到nginx上，其他 webserver 请参考 acme.sh 文档自行实践。废话不多说，进入本节正题。

 上一小节，生成的证书放在了 /root/.acme.sh/bingimg.cn 目录，因为这是 acme.sh 脚本的内部使用目录，而且目录结构可能会变化，所以我们不能让 Nginx 的配置文件直接读取该目录下的证书文件。

正确的做法就是使用 --installcert　命令，指定目标位置，然后证书文件会被 copy 到相应的位置。一条命令即可解决：

acme.sh  --installcert -d bingimg.cn  
         --key-file /etc/nginx/certinfo/bingimg.cn.key 
         --fullchain-file /etc/nginx/certinfo/fullchain.cer 
         --reloadcmd "service nginx force-reload"

我们之前生成的证书是在目录/root/.acme.sh/bingimg.cn 下面，从上面的截图可以看到，这个目录下有4个文件，我们在生成证书的时候指定了3个域名，生成的这个证书可以被用在这3个域名上，并且生成证书的时候第一个 -d bingimg.cn　表示的是主域名，后面的是 SAN 域名。如果需要用一个证书保护多个域名的情况，有2种办法，第一种办法就是使用SAN证书，就像我们这里生成的证书一样，可以在生成证书的时候指定多个域名，其中第一个是主域名，后面的是需要被保护的SAN域名，一个SAN证书最多可以保护500个域名，这这些域名之间可以没有关系，例如 abc.com  和  222.com 这两个域名可以被放在一个 SAN 证书中。另一种是使用泛域名证书例如 *.abc.com 的证书可以被用来保护主域名和无数个 abc.com 的二级子域名。安装之后成功输出下面内容：

 

这里我将证书放到了/etc/nginx/certinfo/目录，这个目录本身没有，我们需要手工创建，当然也可以自行指定。

 最后一步就是，修改 Nginx 配置文件启用 ssl，修改完成后需要重启下 Nginx，这一块不再详述。Nginx 配置请参考： 

# 监听80端口，对所有 http://bingimg.cn 和 http://www.bingimg.cn 的请求都301转向到 https://www.bingimg.cn 上
server {
    listen       80;
    server_name  bingimg.cn,www.bingimg.cn;
    return       301 https://www.bingimg.cn$request_uri;
}
# 监听443端口，对所有 https://bingimg.cn 的请求301转向到 https://www.bingimg.cn 上，这个不用配置ssl证书
server {
    listen       443 ;
    server_name  bingimg.cn; # 这个跳转的https的server块里面不需要配置证书，不知道为什么，当请求上来之后第一步不是建立ssl连接吗，那就应该需要证书才对吧，然而确实不需要
    return       301 https://www.bingimg.cn$request_uri;
}
# 监听443端口，接受所有 https://www.bingimg.cn 的请求
server {
        listen 443 default_server ssl; # 这里必须要加上 default_server 
        server_name www.bingimg.cn;
        
        ssl on;
        ssl_certificate      /etc/nginx/certinfo/fullchain.cer; # 这里配置上证书的路径
        ssl_certificate_key  /etc/nginx/certinfo/bingimg.cn.key;
        ..... other config .....
}

我们上面不仅仅对http的请求配置了跳转到https上，并且对bingimg.cn的https请求也跳转到www.bingimg.cn的https上，最后所有的请求都会落到www.bingimg.cn域名的https服务上，这样做首先将所有http请求跳转成https，其次讲所有bingimg.cn的请求跳转到www.bingimg.cn域名上，因为本质上这是两个不同的域名，都落到www.bingigm.cn域名上有利于SEO，另外要注意的是，上面的配置中最后一个 server 块中的listern命令需要添加  default_server 参数，否则跳转不正常，在nginx的error log 中会找到如下错误：

完成证书部署后可以通过如下站点检测网站的安全级别：

更新证书

目前 Let's Encrypt 的证书有效期是90天，时间到了会自动更新，您无需任何操作。 今后有可能会缩短这个时间， 不过都是自动的，不需要您关心。但是，您也可以手工运行命令强制续签证书：

acme.sh --renew -d example.com --force

更新 acme.sh 脚本

目前由于 acme 协议和 letsencrypt CA 都在频繁的更新, 因此 acme.sh 也经常更新以保持同步。升级 acme.sh 到最新版：

acme.sh --upgrade

如果您不想手动升级,，可以开启自动升级：

acme.sh  --upgrade  --auto-upgrade

您也可以随时关闭自动更新：

acme.sh --upgrade  --auto-upgrade  0

以下关于acme.sh的资料参考：

到此关于部署免费ssl证书到网站的记录就说完了，可以点击连接查看效果  必应壁纸|必应美图

【推广】 免费学中医，健康全家人
原文地址：https://www.cnblogs.com/wangqiguo/p/14656276.html