用 Lego 实现 Let‘s Encrypt HTTPS 通配符证书

相关概念

  • Let‘s Encrypt - 提供免费的 HTTPS 证书,但需要定期更新
  • lego - Go 语言实现的 Let’s Encrypt 客户端及 ACME 库
  • certbot - Let’s Encrypt 官方推荐的客户端

目标需求

  • 注册可以所有子域名共用的通配符证书,包含 *.crowxxx.comcrowxxx.com
  • 能够定期自动更新证书
  • 域名的 DNS 服务器在 阿里云、Godaddy 上
  • 反向代理服务器使用的是 Nginx

方案选择

  • 为什么用通配符证书?

普通证书 - 每个域名分别对应一个证书,有效期更久
通配符证书 - 根域名统一使用一个证书,有效期更短,但不用没新增一个子域名就去申请新证书

  • 为什么用 lego,而不用 certbot?

对应通配符证书,certbot 的自动更新只支持 有限的 DNS 服务器,阿里云和 Godaddy 都不在之列

  • 为什么用 DNS 方式验证域名

HTTP 方式 - 在域名对应的网站指定目录下放验证文件,不支持通配符证书验证
DNS 方式 - 在域名 DNS 中添加 TXT 记录解析验证文本,都支持,但如果要实现自动更新,需要 DNS 服务器提供 API

具体实现

安装 lego

在发版页面

https://github.com/go-acme/lego/releases

找到对应平台的最新版本

lego_v3.4.0_linux_amd64.tar.gz

下载并安装

# 下载
wget https://github.com/go-acme/lego/releases/download/v3.4.0/lego_v3.4.0_linux_amd64.tar.gz

# 解压包中的lego文件
tar -xvf lego_v3.4.0_linux_amd64.tar.gz lego

# 移动到bin目录
mv lego /usr/local/bin/

# 查看帮助
lego -h

获取 DNS 服务器 API 参数

LEGO 使用说明

根据 阿里云 DNS 代理配置说明 得知需要去阿里云申请 API 授权,得到参数

  • 登陆阿里云控制台

https://homenew.console.aliyun.com/

访问控制 > 用户 > 新建用户

登陆名: dns
显示名: dns
访问方式: 编程式访问

创建后,添加权限: AliyunDNSFullAccess

最终得到 AccessKey ID、AccessKeySecret

获取证书

# 我使用的是root用户,证书会生成到当前目录的.lego目录里
cd /root/

# ALICLOUD_ACCESS_KEY、ALICLOUD_SECRET_KEY 设置为对应的 API 参数
# --path 为配置和证书生成目录,如果不指定默认为 `./.lego`
# --dns 为 DNS 服务器 Code
ALICLOUD_ACCESS_KEY=LTAI4FtPNv... \
ALICLOUD_SECRET_KEY=ULv4Y7Ac... \
lego --email="7825xxx@qq.com" --domains="*.crowxxx.com" --domains="crowxxx.com"  --dns="alidns" run

成功输出为

Server responded with a certificate.

错误输出 Incorrect TXT record,TXT 更新慢导致的,多执行几次就好了

acme: error: 403 :: urn:ietf:params:acme:error:unauthorized :: Incorrect TXT record "null" found at \_acme-challenge.crowxxx.com, url:
  • 显示./.lego目录下的证书信息
lego list

Nginx 配置 HTTPS 服务器

  • DNS 服务器后台,解析域名 crowxxx.com 到本机公网 IP
  • Nginx 添加配置(按需配置)
# 把所有HTTP请求重定向到HTTPS上
server {
    listen 80;
    server_name crowxxx.com *.crowxxx.com;

    return 301 https://$host$request_uri;
}

# 配置根域名静态网站
server {
    server_name crowxxx.com;
    listen 443 ssl;
    listen [::]:443 ssl;

    # 配置SSL证书
    ssl_certificate /root/.lego/certificates/_.crowxxx.com.crt;
    ssl_certificate_key /root/.lego/certificates/_.crowxxx.com.key;

    root /web/crowxxx.com;
    location / {}
}

# 配置子域名转发
server {
    server_name api.crowxxx.com;
    listen 443 ssl;
    listen [::]:443 ssl;
    ssl_certificate /root/.lego/certificates/_.crowxxx.com.crt;
    ssl_certificate_key /root/.lego/certificates/_.crowxxx.com.key;

    location / {
        proxy_pass              http://localhost:7070;
        proxy_set_header        Host $host;
        proxy_set_header        X-Real-IP $remote_addr;
        proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header        X-Forwarded-Proto $scheme;
        proxy_read_timeout      90;
    }
}
  • 重载配置
nginx -s reload
  • 打开 https://crowxxx.comhttps://api.crowxxx.com 测试

手动更新证书

# --renew-hook="nginx -s reload",表示刷新证书成功后执行的命令,nginx需要重载证书
ALICLOUD_ACCESS_KEY=LTAI4FtPNv... \
ALICLOUD_SECRET_KEY=ULv4Y7Ac... \
lego --email="7825xxx@qq.com" --domains="*.crowxxx.com" --domains="crowxxx.com" --dns="alidns" renew --days=30 --renew-hook="nginx -s reload"

自动更新证书脚本

用 crontab 启动自动更新脚本

  • 创建可执行脚本
cd /root/.lego
touch autorenew.sh
chmod +x autorenew.sh
vi autorenew.sh
#!/bin/sh

ALICLOUD_ACCESS_KEY=LTAI4FtPNv... \
ALICLOUD_SECRET_KEY=ULv4Y7Ac... \
lego \
 --path="/root/.lego" \
 --email="7825xxx@qq.com" \
 --domains="*.crowxxx.com" --domains="crowxxx.com" \
 --dns="alidns" \
 renew --days=30 --renew-hook="nginx -s reload" >> autorenew.log
  • 测试脚本

日志输出到 autorenew.log

./autorenew.sh
cat autorenew.log
  • 添加到 crontab 中
crontab -e
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/root/bin

# Run lego renew every 12 hours.
0 */12 * * * cd /root/.lego && ./autorenew.sh

如果是 Godaddy DNS 服务器

环境变量配置参见

https://go-acme.github.io/lego/dns/godaddy/

Godaddy API 授权地址

https://developer.godaddy.com/

API Keys > Create New API Key

Name: dns
Environment: Production

Key: e4hSWNft7zt3_DUf4L...
Secret: UKotQzyNmu...

GODADDY_API_KEY=e4hSWNft7zt3_DUf4L... \
GODADDY_API_SECRET=UKotQzyNmu... \
lego --email="7825xxx@qq.com" --domains="*.panxxx.xyz" --domains="panxxx.xyz" --dns="godaddy" run

与阿里云除了环境变量和 dns 不同,其他实现都一样了

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 158,233评论 4 360
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 67,013评论 1 291
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 108,030评论 0 241
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 43,827评论 0 204
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 52,221评论 3 286
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 40,542评论 1 216
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 31,814评论 2 312
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 30,513评论 0 198
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 34,225评论 1 241
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 30,497评论 2 244
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 31,998评论 1 258
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 28,342评论 2 253
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 32,986评论 3 235
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 26,055评论 0 8
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,812评论 0 194
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 35,560评论 2 271
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 35,461评论 2 266

推荐阅读更多精彩内容