使用acme.sh進行ssl申請和自動續約

時間 2020-02-21

標籤使用 acme.sh acme 進行 ssl 申請自動續約欄目 SSL 简体版

原文原文鏈接

本文以demo.example.com爲例，詳細介紹了使用acme.sh進行ssl申請和自動續約的方法html

安裝

只須要用任意用戶執行nginx

curl https://get.acme.sh | sh

acme.sh 會安裝到 ~/.acme.sh/目錄下，並建立新的自動計劃（cronjob）在凌晨0點檢查全部證書web

生成證書的方式主要有三種

網站文件方式，適合於已經部署好apache或是nginx服務器的狀況
臨時監聽80端口方式，適合於沒有部署好服務的服務器
手動配置DNS，須要有手動配置DNS的權限，適合沒有服務器或是不想更改服務器的狀況

1.文件認證

acme.sh  --issue  -d <域名>  --webroot  <網站根目錄>
acme.sh  --issue  -d demo.example.com  --webroot /home/wwwroot/demo.example.com/

2.暫時監聽80端口

yum install socat
acme.sh  --issue -d demo.example.com --standalone

3. DNS方式

手動方式

首先得到認證須要的解析記錄算法

acme.sh --issue --dns -d demo.example.com

而後在DNS服務商中添加記錄
最後從新生成證書apache

acme.sh --renew -d demo.example.com

使用這種方式 acme.sh 將沒法自動更新證書，每次都須要手動再次從新解析驗證域名全部權。api

自動方式

dns 方式的真正強大之處在於可使用域名解析商提供的 api 自動添加 txt 記錄完成驗證安全

首先須要在雲上申請有DNS配置權限的帳號密碼服務器

騰訊雲

參考：
操做方法dom

在dnspod官網上申請
https://www.dnspod.cn/Login?r=/consolecurl

而後登陸遠程服務器

export DP_Id="1234"
export DP_Key="sADDsdasdgdsf"
acme.sh --issue --dns dns_dp -d demo.example.com

阿里雲

參考：
操做方法

在阿里雲官網登陸添加擁有DNS配置權限的子帳戶 https://ram.console.aliyun.com/overview
而後登陸遠程服務器

export Ali_Key="AccessKeyId"
export Ali_Secret="AccessKeySecret"
acme.sh --issue --dns dns_ali -d demo.example.com

證書的安裝

默認生成的證書都放在安裝目錄下: ~/.acme.sh/

須要將證書「拷貝」到自定義位置，方便配置，這裏的複製須要用acme.sh的自帶工具用於往後自動更新

acme.sh  --installcert  -d  demo.example.com   \
        --key-file   /usr/local/nginx/ssl/demo_example_com.key \
        --fullchain-file /usr/local/nginx/ssl/demo_example_com.cer \
        --reloadcmd  "/usr/local/nginx/sbin/nginx -s reload"

apache服務器的配置

暫無

nginx服務器的配置

nginx 設置相似以下

server {
        listen 443 ssl;
        ssl on;
        ssl_certificate  /usr/local/nginx/ssl/demo_example_com.cer; # 這裏指向證書安裝的位置
        ssl_certificate_key  /usr/local/nginx/ssl/demo_example_com.key;
     }

讓你的SSL更安全

參考：https://mikemiao111.com/nginx%E5%A2%9E%E5%BC%BAhttps%E5%AE%89%E5%85%A8%E9%85%8D%E7%BD%AE/

nginx默認採用1024位的加密算法，若是須要的話可使用2048位的代替，這樣可讓加密更安全

首先生成 zjk_zoollcar_top.pem 文件到指定目錄

openssl dhparam -out /usr/local/nginx/ssl/demo_example_com.pem 2048

而後在nginx配置文件中設置

server {
        listen 443 ssl;
        ssl on;
        ssl_certificate  /usr/local/nginx/ssl/demo_example_com.cer;
        ssl_certificate_key  /usr/local/nginx/ssl/demo_example_com.key;
        ssl_dhparam  /usr/local/nginx/ssl/demo_example_com.pem; #新增
     }

能夠用下面的網站測試SSL安全性

https://www.ssllabs.com/ssltest/