嘮嘮閑話

在網頁瀏覽過程中，你可能遇到過瀏覽器顯示網站不安全的警告，原因是該網站使用的是 HTTP 而非 HTTPS 協議。

如果你在 HTTP 網站上輸入了個人信息，如用戶名、密碼、信用卡號等，這些信息在傳輸過程中可能被竊取，繼而被用于惡意行為。HTTPS 協議通過 SSL/TLS 對數據加密，保護了用戶的隱私和安全。

雖然市面上提供 SSL 證書的機構眾多，如阿里云、騰訊云等，但這些證書往往收費、限額且配置繁瑣。此時，Let’s Encrypt 以其免費、開放且自動化的特點成為了優選，它由 Linux 基金會管理，為眾多網站提供了便捷的 HTTPS 加密解決方案。

本文旨在介紹如何使用 Let’s Encrypt 生成免費的泛域名 SSL 證書。

環境和工具

我們將在 Ubuntu 20.04.6 LTS 系統上，利用 Nginx 和 Certbot 工具進行測試。Nginx 用于反向代理，Certbot 負責獲取和續簽 SSL 證書。

? uname -i
x86_64
? nginx -v
nginx version: nginx/1.18.0 (Ubuntu)
? certbot --version
certbot 2.9.0
? lsb_release -a
Description:    Ubuntu 20.04.6 LTS
安裝 Nginx 和 Certbot：
# 安裝 Nginx
sudo apt update
sudo apt install nginx -y
# 安裝 snap 并通過其安裝 certbot
sudo apt install snap -y
sudo snap install core && sudo snap refresh core
sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot
配置 SSL 證書
本節分為配置單域名證書和泛域名證書兩部分，以 example.com 為例進行說明。
單域名證書
假設你要為 test.example.com 配置證書，首先將該域名解析到服務器公網地址，然后執行命令：
sudo certbot certonly --nginx -d test.example.com --agree-tos --server https://acme-v02.api.letsencrypt.org/directory
Certbot 命令包含了幾個參數，以下是詳細說明：
    certonly: 用于獲取證書，但不自動配置 web 服務器來使用新的證書。這在希望手動管理服務器配置或者使用它進行測試的時候有用。
    --server https://acme-v02.api.letsencrypt.org/directory: 指定 ACME 服務器的 URL。這里使用的是 Let’s Encrypt 的 ACME v2 服務器地址。ACME（Automated Certificate Management Environment）是獲取、續訂以及撤銷 SSL 證書的協議。
    --agree-tos: 通過這個參數，同意 Let’s Encrypt 的服務條款，省去確認步驟。
    -d test.example.com: -d 參數后面跟的是你想要為其獲取 SSL 證書的域名。可以為多個域名獲取證書，通過為每個域名重復 -d 參數實現。
    --nginx: 使用 Nginx 插件來自動完成驗證過程和配置更新。
執行后，證書將生成并保存至 /etc/letsencrypt/live/test.example.com/，同時 Certbot 會自動設定定時任務以便證書續簽：
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/test.example.com/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/test.example.com/privkey.pem
This certificate expires on 2024-06-10.
These files will be updated when the certificate renews.
Certbot has set up a scheduled task to automatically renew this certificate in the background.
泛域名證書
泛域名（Wildcard Domain）指包含通配符 (*) 的域名，用來匹配一個域名下的多個子域名。其中 * 只能出現在首位，且以 *. 的形式，匹配只匹配一級，比如 *.example.com 可以匹配 test.example.com，但不能匹配 test.sub.example.com。
泛域名證書允許我們為多個子域名使用同一個證書。以 *.example.com 的泛域名證書為例，執行以下命令：
sudo certbot certonly --manual --preferred-challenges=dns -d "*.example.com" --agree-tos --server https://acme-v02.api.letsencrypt.org/directory
和前邊相比，增加了兩個參數：
- --manual: 手動模式，需手動執行一些步驟，例如添加 DNS 記錄。
- --preferred-challenges=dns: 使用 DNS 驗證域名所有權。
此過程需要手動添加 DNS TXT 記錄以驗證域名所有權。證書頒發后，將保存在 /etc/letsencrypt/live/example.com/。
注：可以用 cloudflare 托管域名，然后就能自動進行 DNS 驗證并更新證書，當前暫不考慮。
使用和更新證書
使用證書
在 Nginx 配置文件中引用證書，以開啟 HTTPS 支持：
server {
    listen 443 ssl;
    server_name test.example.com; # 或使用泛域名
    ssl_certificate /etc/letsencrypt/live/test.example.com/fullchain.pem; # 或泛域名證書路徑
    ssl_certificate_key /etc/letsencrypt/live/test.example.com/privkey.pem;
    # 同 Http 配置
    ...
}
如果希望拷貝證書文件，可以用 cat 命令：
sudo cat /etc/letsencrypt/live/test.example.com/fullchain.pem > $HOME/test.example.com.pem
sudo cat /etc/letsencrypt/live/test.example.com/privkey.pem > $HOME/test.example.com.key
注意，/etc/letsencrypt/live/ 目錄下的證書是符號鏈接，指向 /etc/letsencrypt/archive/ 目錄下的真實證書文件。如果要用 cp 命令拷貝證書，需要拷貝 /etc/letsencrypt/archive/ 目錄下的文件。
更新證書
Let’s Encrypt 證書的有效期為 90 天，需定期更新。使用以下命令可自動續簽所有證書：
sudo certbot renew --dry-run
renew 命令的設計初衷是自動續簽所有已安裝且即將到期的證書，而不是單獨續簽指定的域名證書。如果要強制更新某個域名，可以使用 --force-renewal 參數。
sudo certbot certonly --force-renewal -d test.example.com --nginx
為實現自動更新，可設置 crontab 定時任務。
sudo crontab -e
# 0 0 1 * * 表示每月 1 號 0 點 0 分執行
# 0 0 1 * * /usr/bin/certbot certonly --force-renewal -d test.example.com --nginx
0 0 1 * * /usr/bin/certbot renew --dry-run
注意，泛域名證書涉及手動 DNS 驗證，更新較為復雜。如果想自動更新，可以考慮 Certbot 的 DNS 插件，配合 Cloudflare 托管域名。
管理證書
更新域名證書時，如果證書已存在，可能會生成多個證書文件。可以通過以下命令查看證書列表：
sudo certbot certificates
然后刪除某個證書：
sudo certbot delete --cert-name example.com
結語
以上提供了一個使用 Let’s Encrypt 配置泛域名 SSL 證書的簡明指南，幫助提升網站的安全性和可信度。
參考文檔：Create Let’s Encrypt Wildcard Certificates in NGINX

原文鏈接：https://blog.csdn.net/qq_39517117/article/details/138297029

作者：致宏Rex 原創