Let’s Encrypt 是一个将于2015年末推出的数字证书认证机构，将通过旨在消除当前手动创建和安装证书的复杂过程的自动化流程，为安全网站提供免费的SSL/TLS证书。
更新源，安装 git 和 bc
[root@iZ2864f6btwZ ~]# yum update
[root@iZ2864f6btwZ ~]# yum -y install git bc
获取 Let’s Encrypt 并进入 letsencrypt 目录
[root@iZ2864f6btwZ ~]# git clone https://github.com/letsencrypt/letsencrypt && cd letsencrypt
生成证书
[root@iZ2864f6btwZ letsencrypt]# ./letsencrypt-auto certonly --standalone
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator standalone, Installer None
Please enter in your domain name(s) (comma and/or space separated) (Enter 'c'
to cancel): pijunhui.com a.com b.cn c.com
...
注意：
此过程将被要求邮箱、域名信息和是否同意协议
域名一定是要解析成功状态，多个域名之间用英文逗号或空格分隔
--standalone表示生成单独的证书，而不是插件形式，更多请参考 https://certbot.eff.org/docs/using.html#plugins，
Until May 2016, Certbot was named simplyletsencryptorletsencrypt-auto, depending on install method. Instructions on the Internet, and some pieces of the software, may still refer to this older name.
你还可以直接使用./letsencrypt-auto certonly --standalone --email pijh2012@163.com -d pijunhui.com -d www.pijunhui.com --agree-tos创建证书，-d是指定证书将要绑定的域名，可绑定多个（建议不要超过5个），--agree-tos表示同意接受 Let’s Encrypt 的证书服务协议，更多帮助命令请使用./certbot-auto --help all查看。
查看生成的证书，生成的证书一般放在 /etc/letsencrypt/ 目录
[root@iZ2864f6btwZ letsencrypt]# ll /etc/letsencrypt/
total 24
drwx------ 3 nginx nginx 4096 Sep 27 09:30 accounts
drwx------ 3 nginx nginx 4096 Sep 27 09:41 archive
drwxr-xr-x 2 nginx nginx 4096 Sep 27 09:41 csr
drwx------ 2 nginx nginx 4096 Sep 27 09:41 keys
drwx------ 3 nginx nginx 4096 Sep 27 09:41 live
drwxr-xr-x 2 nginx nginx 4096 Sep 27 09:41 renewal
[root@iZ2864f6btwZ letsencrypt]#
[root@iZ2864f6btwZ letsencrypt]# tree !$
tree /etc/letsencrypt/
/etc/letsencrypt/
├── accounts
│ └── acme-v01.api.letsencrypt.org
│ └── directory
│ └── 6f67ff441ef792c51b14ec84e575790a
│ ├── meta.json
│ ├── private_key.json
│ └── regr.json
├── archive
│ └── pijunhui.com
│ ├── cert1.pem
│ ├── chain1.pem
│ ├── fullchain1.pem
│ └── privkey1.pem
├── csr
│ └── 0000_csr-certbot.pem
├── keys
│ └── 0000_key-certbot.pem
├── live
│ └── pijunhui.com
│ ├── cert.pem -> ../../archive/pijunhui.com/cert1.pem
│ ├── chain.pem -> ../../archive/pijunhui.com/chain1.pem
│ ├── fullchain.pem -> ../../archive/pijunhui.com/fullchain1.pem
│ ├── privkey.pem -> ../../archive/pijunhui.com/privkey1.pem
│ └── README
└── renewal
└── pijunhui.com.conf
11 directories, 15 files
[root@iZ2864f6btwZ letsencrypt]#
注意：
tree命令是查看目录结构，!$表示上一次命令最后使用的路径
配置 nginx
server {
listen 80;
listen [::]:80;
server_name pijunhui.com www.pijunhui.com;
return 301 https://pijunhui.com$request_uri;
}
server {
listen 443;
listen [::]:443;
server_name pijunhui.com;
root /usr/local/nginx/www/;
ssl on;
ssl_certificate /etc/letsencrypt/live/pijunhui.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/pijunhui.com/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
...
}
注意：
配置两个 server 其中return 301 https://pijunhui.com$request_uri;是为了让全站支持https，ssl_certificate 路径
ssl_certificate /etc/letsencrypt/live/你的域名/fullchain.pem;，ssl_certificate_key 路径ssl_certificate_key /etc/letsencrypt/live/你的域名/privkey.pem;，如果绑定了多个域名，路径中的域名默认是第一个域名，其它 ssl 部分的内容保持不变。
重启 nginx 服务器或重新载入 nginx 配置文件
[root@iZ2864f6btwZ letsencrypt]# service nginx restart
注意：
每个人安装 nginx 的风格可能不一样，启动的方法也可能有所差异，请根据自身情况正确重启 nginx 服务器。
检查https站点是否访问正常
注意：
Let’s Encrypt 证书只有 90 天的有效期，所以我们想要网站持续使用 HTTPS 就必须定期去更新证书。
使用 Crontab 定时任务自动更新证书，每2个月1号凌晨30分检查更新，并将日志写入/var/log/letsencrypt-renewal.log，Crontab 命令请自行百度
[root@iZ2864f6btwZ letsencrypt]# crontab -e
...
30 0 1 1-12/2 * /root/letsencrypt/letsencrypt-auto renew >> /var/log/letsencrypt-renewal.log
...
