Let’s Encrypt两种域名验证方式
1. DNS验证：配置一个随机的 TXT 记录来验证
2. 文件验证：配置一个随机的 URL 地址来验证
泛域名通用证书只能使用DNS TXT记录验证，acme.sh支持多种dnsapi我使用的是阿里云DNS，可以根据你的域名服务商进行选择支持列表。
安装 acme.sh
|
1 |
curl https://get.acme.sh | sh -s email=my@example.com |
my@example.com 改为你自己的邮箱地址用于接收通知。
acme.sh自动为你创建定时任务, 每天 0:00 点自动检测所有的证书, 如果快过期了, 需要更新, 则会自动更新证书。
配置阿里云AK
设置临时系统变量
|
1 2 3 4 |
#你的阿里云AccessKeyId export Ali_Key="AccessKeyId" #你的AccessKeySecret export Ali_Secret="AccessKeySecret" |
颁发证书
可以进行单域名、多域名、泛域名进行颁发。
|
1 |
acme.sh --issue --dns dns_ali -d chunblog.com -d *.chunblog.com |
这里会使用dnsapi自动添加TXT记录，进行域名的 DNS 验证，中间会等待 2分钟左右来验证正确性，验证完成后记录会自动删除。
出现Cert success表示成功 后面会有证书存放路径。
复制/安装证书
Nginx
|
1 2 3 4 5 |
acme.sh --dns dns_ali -d chunblog.com -d *.chunblog.com\ --install-cert\ --key-file /www/cert/chunblog.com/key.pem\ --fullchain-file /www/cert/chunblog.com/cert.pem\ --reloadcmd "/etc/init.d/nginx reload" |
参数说明
–install-cert 将颁发的证书安装到 apache/nginx 或任何其他服务器。
–key-file 发行/续订后将密钥文件复制到的路径。
–fullchain-file 发布/续订后将全链证书文件复制到的路径。
–reloadcmd 发布/更新后重新加载服务器后要执行的命令
然后修改Nginx配置文件使用 /www/cert/chunblog.com/key.pem、/www/cert/chunblog.com/cert.pem即可
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 |
server { listen 80; listen 443 ssl http2; server_name chunblog.com www.chunblog.com; index index.php index.html index.htm; root /www/chunblog.com; ssl_certificate /www/server/panel/vhost/cert/chunblog.com/fullchain.pem; ssl_certificate_key /www/server/panel/vhost/cert/chunblog.com/privkey.pem; ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3; ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5; ssl_prefer_server_ciphers on; ssl_session_cache shared:SSL:10m; ssl_session_timeout 10m; #禁止访问的文件或目录 location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn|\.project|LICENSE|README.md) { return 404; } location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ { expires 30d; error_log /dev/null; access_log /dev/null; } location ~ .*\.(js|css)?$ { expires 12h; error_log /dev/null; access_log /dev/null; } access_log /www/wwwlogs/chunblog.com.log; error_log /www/wwwlogs/chunblog.com.error.log; } |
安装acme.sh时已自动创建定时任务，证书到期前会自动更新证书并重载Nginx配置使证书生效。
