Let‘s Encrypt 申请免费的 Https 证书

妖狐艹你老母 2023-02-25 11:20 6阅读 0赞

[Let’s Encrypt][Let_s Encrypt] 证书不仅是免费的，而且支持通配符证书，通配符证书指的是一个可以被多个子域名使用的公钥证书，多个子域名使用起来十分方便。申请和配置的流程都非常简单，虽然每次的有效期为 90 天，但可以通过脚本去更新证书，只要配置好了，几乎可以一劳永逸。

## Certbot ##

certbot 可以通过简单的命令来生成证书，我们需要先将 certbot 克隆到我们的服务器中。

git clone https://github.com/certbot/certbot

cd certbot

### 申请证书 ###

需要提到的一点是，客户在申请 Let’s Encrypt 证书的时候，需要校验域名的所有权，证明操作者有权利为该域名申请证书，目前支持三种验证方式：

*  dns-01：给域名添加一个 DNS TXT 记录。
 *  http-01：在域名对应的 Web 服务器下放置一个 HTTP well-known URL 资源文件。
 *  tls-sni-01：在域名对应的 Web 服务器下放置一个 HTTPS well-known URL 资源文件。

而通配符域名只能通过 dns-01 的方式去申请，我是通过阿里云购买的域名，需要登录阿里云在解析设置中添加解析记录，后面会提到如何添加TXT解析记录。使用下面的命令开始生成证书，注意将 \*.example.com 和 example.com 替换成你自己的域名。

certbot-auto certonly --manual \
    -d *.example.com \
    -d example.com --agree-tos \
    --manual-public-ip-logging-ok --preferred-challenges \
    dns-01 --server https://acme-v02.api.letsencrypt.org/directory

输入完上面的命令之后，会开始下载一大堆依赖库，耐心等待依赖文件下载完成即可。需要验证域名的所有权，如下：：

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Please deploy a DNS TXT record under the name
    _acme-challenge.example.com with the following value:
    
    IumgF_VVxdasWPM7DLzdasxJbpWdsaMRoAbY0sQa4QaUnGkQ
    
    Before continuing, verify the record is deployed.
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Press Enter to Continue

此时打开你的域名提供商去添加解析记录，我的域名是阿里云购买的,链接：[https://dns.console.aliyun.com/][https_dns.console.aliyun.com]。其他域名提供商应该也是一致的。记录类型选择 TXT，主机记录输入上面的 \_acme-challenge.example.com，记录值输入上面生成的随机字符串 mhumL1xJOHPIZtFTEm4rotjJnR9TdkBVPuCS9YHvNjs 。

最后弹出证书的存放位置：

- Congratulations! Your certificate and chain have been saved at:
       /etc/letsencrypt/live/example.com/fullchain.pem
       Your key file has been saved at:
       /etc/letsencrypt/live/example.com/privkey.pem
       Your cert will expire on 2020-10-10. To obtain a new or tweaked
       version of this certificate in the future, simply run certbot-auto
       again. To non-interactively renew *all* of your certificates, run
       "certbot-auto renew"
     - If you like Certbot, please consider supporting our work by:
    
       Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
       Donating to EFF:                    https://eff.org/donate-le

## 你想手动尝试 Certbot 证书更新？ ##

一般是直接使用 renew 命令，即：

/bin/certbot renew

但是现在 Certbot 也会自己判断了，没有快到期之前，它也觉得没必要频繁续期。

[Let_s Encrypt]: https://letsencrypt.org/zh-cn/how-it-works/
[https_dns.console.aliyun.com]: https://dns.console.aliyun.com/