[普通]Certbot-免费的HTTPS证书

作者(passion) 阅读(165次) 评论(0) 分类( 随笔)

书接上文,会了Nginx,也配了网站了,但是总觉得少了点什么,今天来说说https的证书配置

关于什么是https,以及http和https的区别,这些问题我就不跟你多bb了,自己百度搜去。。。

https_百度百科baike.baidu.com图标

直接说正事,Certbot的免费证书配置。

获取SSL证书
理论上,我们自己也可以手动制作一个 SSL 安全证书,但是我们自己签发的安全证书浏览器信任,所以我们需要被信任的证书授权中心( CA )签发的安全证书。而一般的 SSL 安全证书签发服务都需要付费,且价格昂贵,不过为了加快推广 https 的普及, EEF 电子前哨基金会、 Mozilla 基金会和美国密歇根大学成立了一个公益组织叫 ISRG ( Internet Security Research Group ),这个组织从 2015 年开始推出了 Let’s Encrypt 免费证书。这个免费证书不仅免费,而且还相当好用,所以我们就可以利用 Let’s Encrypt 提供的免费证书部署 https 了。


接下来就进入远端服务器,进行安装与配置:

1、获取certbot-auto

wget https://dl.eff.org/certbot-autochmod a+x ./certbot-auto./certbot-auto --help

2、生成证书

./certbot-auto --serverhttps://acme-v02.api.letsencrypt.org/directory -d "chennick.wang" -d "*.chennick.wang"--manual --preferred-challenges dns-01 certonly

注意⚠️:

生成的过程中会让你添加域名记录,注意类型是TXT如下图:

配置域名记录

添加完之后去下面 路径检查一下密钥是否生成:

密钥地址

fullchain.pem和privkey.pen这俩玩意儿很关键,后面配置虚拟主机的时候会用到它们


下面就来看看怎么配置虚拟主机:

在 /etc/nginx/conf.d 路径下新建一个 ssl.conf 配置如下:
# ssl on;
# listen 443 ssl;
ssl_certificate       /etc/letsencrypt/live/chennick.wang/fullchain.pem;
ssl_certificate_key   /etc/letsencrypt/live/chennick.wang/privkey.pem;

# openssl dhparam -out /etc/ssl/private/dhparam.pem 2048
ssl_protocols TLSv1.3 TLSv1.2;
ssl_ciphers TLS13-AES-256-GCM-SHA384:
TLS13-CHACHA20-POLY1305-SHA256:
TLS13-AES-128-GCM-SHA256:
TLS13-AES-128-CCM-8-SHA256:
TLS13-AES-128-CCM-SHA256:
TLS_AES_256_GCM_SHA384:
TLS_CHACHA20_POLY1305_SHA256:
TLS_AES_128_GCM_SHA256:
ECDHE-ECDSA-AES256-GCM-SHA384:
ECDHE-RSA-AES256-GCM-SHA384:
ECDHE-ECDSA-CHACHA20-POLY1305:
ECDHE-RSA-CHACHA20-POLY1305:
ECDHE-ECDSA-AES128-GCM-SHA256:
ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-ECDSA-AES256-SHA384:
ECDHE-RSA-AES256-SHA384:
ECDHE-ECDSA-AES128-SHA256:
ECDHE-RSA-AES128-SHA256;
ssl_prefer_server_ciphers on;    # Forward Secrecy
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 30m;
⚠️要注意 ‘ssl_certificate’ 和 ‘ssl_certificate_key’ 这俩参数要配置上面生成密钥的路径

打开同在 /etc/nginx/conf.d 下的 default2.conf:

default2.conf

把listen改成 443 ssl,最后保存退出,重启一下nginx

到浏览器去查看配置情况,浏览器输入网址 nginx2.chennick.wang

。。。部署的项目有问题,忽略哈


网页是呈现出来了,来看看证书,点击下图红色箭头指的地方

配置了这个证书之后,我的chennick.wang下的所有二级域名,都将通用,无需再次单独配

这可比腾讯云的证书好多了,因为腾讯云每个二级域名都是需要配置证书的


过期时间的问题,证书每三个月会过期,但是可以无限续签,邮箱会通知你

首先使用命令行看看证书是否过期了

我的证书还没过期呢哈哈哈哈哈哈


先看看手动续签,使用命令行:

./certbot-auto renew
# 如果提示未到期,cert not due for renewal,可以强制更新如下
./certbot-auto renew --force-renew
# 看到success表示成功了


接下来是自动续签:

写一个renew-cert.sh
#!/bin/bash
# 停止nginx
nginx -s stop

# 续签
/root/certbot-auto renew --force-renew

# 重启nginx
nginx -s reload
给所有的用户添加执行 renew-cert.sh 这个文件的权限
chmod a+x renew-cert.sh
自动更新https证书
0 4 1 */2 * /root/renew-cert.sh >/root/crontab.log 2>&1


« 上一篇:rtsp 播放插件
« 下一篇:certbot申请通配符域名证书
在这里写下您精彩的评论
  • 微信

  • QQ

  • 支付宝

返回首页
返回首页 img
返回顶部~
返回顶部 img
';