Let's Encrypt免费SSL通配证书的申请与续期

Let's Encrypt 是免费、开放和自动化的证书颁发机构。目前有很多网站使用Let's Encrypt证书做https加密。我也一直在用,不过以前都是用的单域名证书,新建网站就需要重新申请,比较麻烦。但现在已经可以申请Let's Encrypt通配证书了。

实际上,申请 Let's Encrypt 生成证书的工具不止一种,我用过 cerbot 和 acme.sh。以前用 cerbot 申请的时候不得不停掉 80 端口的服务,感觉不太友好。后来用 acme.sh 简单一点,本文将介绍如何使用 acme.sh 来独立申请域名通配证书。

acme.sh 项目地址为https://github.com/acmesh-official/acme.sh,本文参考官方文档

一、安装

  • 1.安装socat和curl,以下以debian/ubuntu和alpine为例,其他Linux发行版自行搜索软件包

    apt install socat curl  # debian/ubuntu 环境
    apk add socat curl      # alpine 环境  
    
  • 2.安装 acmese.sh

    curl  https://get.acme.sh | sh
    

    安装完成之后会在当前目录下生成 .acme.sh 目录

二、生成证书

  • 1.配置域名服务商的AccessKey

申请域名证书可以手动添加域名解析验证。但使用域名服务商提供的 API 自动添加txt解析的方式来完成验证,会更方便后续实现自动化的ssl证书续订。

根据不同类型的域名服务商,我们选择对应的DNS API :https://github.com/acmesh-official/acme.sh/wiki/dnsapi

首先我们需要获取域名服务商提供的AccessKey,这是用来作为调用API的凭证。因为我的域名是在阿里云买的,这里以阿里云作为示例,可以点击这个链接申请阿里云的Accesskey:https://usercenter.console.aliyun.com/#/manage/ak

你可以使用全局的AccessKey,也可以使用子账号的AccessKey。因为全局AccessKey具有的阿里云账号的所有权限,更建议使用子账号。这里我使用子账号的AccessKey(但注意,子账号必须设置好dns相关权限),生成AccessKey ID 和 AccessKey Secret 如下图:

01.png

获取AccessKey ID和Access Scret后将它们加入到系统环境变量中

export Ali_Key="LTAI4GCqsh91TURz3hzNkapp"
export Ali_Secret="hyddKq5Dm9OBfpCftGRP9Uo3vcFRaa"
  • 2.生成证书

配置好之后,使用以下命令生成证书

.acme.sh/acme.sh --issue --dns dns_ali -d jkdev.cn -d *.jkdev.cn

这里生成两个证书,一个是 jkdev.cn 的,另一个使用 * 来代替,即可生成子域名的通配证书。生成证书过程中,会调用服务商API自动添加一条 txt 的域名解析验证,验证通过后会自动删除解析,这个过程对我们来说是无感知的。

注意:如果你没有使用的阿里云的域名,使用上面的命令是不管用的,请参考 二(1)中的 DNS API说明链接。

证书的有效期为90,80天之后续期,续期命令如下

.acme.sh/acme.sh --renew -d jkdev.cn -d *.jkdev.cn

当然了,你可以做成系统任务,自动化续期,这里不再说明

三、部署https网站

生成的证书可以用于Apache/Nginx等服务器,我用的是Apache,此处共享一下我的配置参数

<VirtualHost _default_:443>
    DocumentRoot "/var/www/html/www"
    ServerName www.jkdev.cn
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/ssl/test.phy/*.jkdev.cn.cer
    SSLCertificateKeyFile /etc/letsencrypt/live/ssl/test.phy/*.jkdev.cn.key
        SSLCertificateChainFile /etc/letsencrypt/live/ssl/test.phy/fullchain.cer
    <Directory "/var/www/html/www">
        Options Indexes FollowSymLinks
        AllowOverride All
        Require all granted
        ErrorDocument 404 https://www.jkdev.cn/404.html
    </Directory>
</VirtualHost>

有任何疑问,欢迎给博主留言!