前段时间因需求在阿里云上搭建过一次基于let's encrypt的nginx免费通配符证书,当时因为有阿里云的API接口,搭建的比较顺利,最近由于公司内部测试需要,测试机没有类似阿里云之类的API接口,在搭建的时候发现http-01的方式没法配置通配符证书,最后在github上找到了一种方法,所以现在就把两种方式都回顾下。
acme原理:https://blog.csdn.net/canghaiguzhou/article/details/79945001
ACME 协议支持的验证协议一般有两种:
http 验证:必须有可以正常运行的服务器和公网 IP。验证时,需要在你的网站根目录下放一个文件来验证域名所有权,完成验证后就可以生成证书了。 dns 验证:不需要服务器和公网 IP。只需要为域名添加一条 txt 解析记录来验证域名所有权。
通过 acme.sh 获取通配符域名证书
acme.sh 的所有相关文件(包括安装文件、申请到的证书等)都在 ~/.acme.sh/ 这一个目录中。
安装 acme.sh 在线安装 curl https://get.acme.sh | sh 或者: wget -O - https://get.acme.sh | sh
从 Git 安装 git clone https://github.com/Neilpang/acme.sh.git cd ./acme.sh ./acme.sh --install
安装过程包含 3 个动作:
创建并复制 acme.sh 到你的家目录 $HOME:~/.acme.sh/。所有的证书都会放到这个目录中 创建别名: acme.sh=~/.acme.sh/acme.sh 创建每天的定时任务检查证书,如果快要到期了会自动更新 定时任务示例:
0 "/home/user/.acme.sh"/acme.sh --cron --home "/home/user/.acme.sh" > /dev/null
验证 安装完成后,需要重新打开终端,acme.sh 命令才能生效
第一种DNS方式: 如果域名解析商提供 API,则可以自动借助这个 API 通过工具添加 txt 记录完成验证。
例如阿里云: 首先我们要把acme的配置替换成从阿里云获取的API参数 vim .acme.sh/account.conf
SAVEDAliKey='XXXXXX' SAVEDAliSecret='XXXXXX'
修改完配置后,执行命令: acme.sh --issue --dns dns_ali -d mydomain.com -d .mydomain.com
acme.sh 会保存 API 参数并生成定时任务,用于每天验证证书是否即将过期,并及时更新。下面是通过 crontab -e 看到的新增的定时任务: 16 0 "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null
证书生成后,需要把证书 copy 到真正需要用它的地方。
默认生成的证书都放在安装目录 ~/.acme.sh/ 下,但是请不要直接使用。而是使用 --installcert 命令安装证书。
使用 --installcert 命令安装证书
使用 --installcert 命令安装证书时,证书文件会被复制到相应的位置:
acme.sh --installcert -d mydomain.com
--key-file /etc/nginx/ssl/mydomain.key
--fullchain-file /etc/nginx/ssl/fullchain.cer
--reloadcmd "systemctl reload nginx.service"
配置nginx Nginx 的配置 ssl_certificate 使用 /etc/nginx/ssl/fullchain.cer,而非 /etc/nginx/ssl/<domain>.cer,否则 SSL Labs 的测试会报 Chain issues Incomplete 错误
server{ listen 443 ssl; server_name mydomain.com; ssl on; ssl_certificate /etc/nginx/ssl/fullchain.cer; ssl_certificate_key /etc/nginx/ssl/mydomain.key; ssl_session_timeout 5m; }
第二种http方式: 这种方式如果只是单独一个或者多个域名,直接执行命令即可,后边呢的webroot是存放证书的目录,可以手动修改增加
acme.sh --issue -d mydomain.com -d www.mydomain.com --webroot /home/wwwroot/mydomain.com/
如果没有运行任何 web 服务,80 端口是空闲的,那么 acme.sh 可以运行为 webserver,临时监听 80 端口,完成验证:
acme.sh --issue -d mydomain.com --standalone
这里我在申请证书的时候遇到过一个问题,域名的公网IP+80其实是映射到我内网的IP+8080端口,但是我误认为是内网的80端口,所以在nginx的配置中我监听了80端口,导致验证文件一直下载不下来,最后修改了nginx监听8080端口后解决。 报错信息: http://mydomain/.well-known/acme-challenge/YdvMFXcNTtNkZGWop-ZOXYSFR5qNlTn8AQvGhGg9Yww not found
问题解决后,发现申请下来的证书无法支持通配符,最终在github上找到了通过域名别名的解决方式。
http方式 支持https通配符免费证书:
首先,我们需要在DNS服务器上设置我们的域名别名: _acme-challenge.mydomain.cn CNAME到 _acme-challenge.alidomain.cn
这里我们做的操作是把要申请证书的域名CNAME到原先可以通过API接口申请通配符的域名上,前边的_acme-challenge是必须要加的 而且我也还要配置.acme.sh/account.conf下 原先域名的key,完成后执行操作。
acme.sh --issue -d mydomain.cn --challenge-alias alidomain.cn --dns dns_ali -d *.mo-sky.cn 如果提示 可以加上 --force 参数
参考文章:https://github.com/Neilpang/acme.sh/wiki/DNS-alias-mode