作者: reistlin
来源: http://www.reistlin.com/blog/432
更新时间: 2023.01
版权声明: 原创文章.转载请保留作者信息和原文完整.谢绝任何方式的摘要

linux.pngnginx.png

Lets Encrypt 是一家免费、开放、自动化的证书颁发机构（CA），为公众的利益而运行。它是一项由 Internet Security Research Group (ISRG) 提供的服务。

免费：任何拥有域名的人都可以使用 Lets Encrypt 免费获取受信的证书。

自动化：运行于服务器上的软件可以与 Lets Encrypt 直接交互，以便轻松获取证书，安全地配置它，并自动进行续期。

安全：Lets Encrypt 将成为一个推动 TLS 安全最佳实践发展的平台，无论是作为一个证书颁发机构（CA）还是通过帮助网站运营商正确地保护其服务器。

透明：所有颁发或吊销的证书将被公开记录，供任何人查阅。

开放：自动签发和续订协议已经发布作为其他人可以采用的开放标准。

乐于合作：就像互联网底层协议本身一样，Lets Encrypt 是为了让整个互联网社区受益而做出的共同努力，它不受任何单一组织的控制。Lets Encrypt 是为了让整个互联网社区受益而做出的共同努力，它不受任何单一组织的控制。

通过 acme.sh 实现 ACME (Automatic Certificate Management Environment) 协议，生成免费 SSL 证书并自动 Renew 续期。

自动化证书管理环境（ACME）是用于自动验证 X.509 证书的域验证，安装和管理的标准协议。 ACME 协议由 Internet 安全研究小组设计，并在 IETF RFC 8555。作为具有许多可用的客户端实现的文档齐全的开放标准，ACME 被广泛用作企业证书自动化解决方案。

一，下载安装 acme.sh

curl https://get.acme.sh | sh -s email=test@reistlin.com

默认安装路径：~/.acme.sh/
举例：/home/reistlin/.acme.sh/

二，设置证书颁发机构 Lets Encrypt

acme.sh --set-default-ca --server letsencrypt

三，生成证书

acme.sh --issue -d reistlin.com -d www.reistlin.com --webroot /home/wwwroot/

-d 参数指定默认域名和 www 域名
--webroot 参数指定网站根目录

举例：申请成功，证书保存在 /home/reistlin/.acme.sh/reistlin.com_ecc 目录

2023年 01月 30日 星期一 17:24:39 CST] Your cert is in: /home/reistlin/.acme.sh/reistlin.com_ecc/reistlin.com.cer
[2023年 01月 30日 星期一 17:24:39 CST] Your cert key is in: /home/reistlin/.acme.sh/reistlin.com_ecc/reistlin.com.key
[2023年 01月 30日 星期一 17:24:39 CST] _on_issue_success

四，配置证书

举例：Nginx SSL 配置

server {
    listen       443 ssl http2;
    server_name  reistlin.com  *.reistlin.com;

    ssl_certificate            /etc/nginx/conf.d/reistlin.com.cer;
    ssl_certificate_key        /etc/nginx/conf.d/reistlin.com.key;
    ssl_session_cache          shared:SSL:1m;
    ssl_session_timeout        5m;
}

五，自动续期

Lets Encrypt 免费 SSL 证书有效期 90 天，通过 acme.sh 配置系统 crontab 任务自动 Renew 续期：

系统 crontab 任务：

crontab -l
15 0 * * * "/home/reistlin/.acme.sh"/acme.sh --cron --home "/home/reistlin/.acme.sh" > /dev/null

crontab 每天 0 点 15 分自动检测证书有效性，到期自动 Renew 续期：

[2023年 01月 30日 星期一 21:26:51 CST] ===Starting cron===
[2023年 01月 30日 星期一 21:26:51 CST] Renew: "reistlin.com"
[2023年 01月 30日 星期一 21:26:51 CST] Renew to Le_API=https://acme-v02.api.letsencrypt.org/directory
[2023年 01月 30日 星期一 21:26:51 CST] Skip, Next renewal time is: 2023-03-30T09:24:39Z
[2023年 01月 30日 星期一 21:26:51 CST] Add "--force" to force to renew.
[2023年 01月 30日 星期一 21:26:51 CST] Skipped reistlin.com_ecc
[2023年 01月 30日 星期一 21:26:51 CST] ===End cron===

标签: linux, nginx, ssl