使用免费的 Let's Encrypt 配置 Nginx SSL 站点

Let’s Encrypt 是一个将于2015年末推出的数字证书认证机构，将通过旨在消除当前手动创建和安装证书的复杂过程的自动化流程，为安全网站提供免费的SSL/TLS证书。

更新源，安装 git 和 bc

[root@iZ2864f6btwZ ~]# yum update
[root@iZ2864f6btwZ ~]# yum -y install git bc

获取 Let’s Encrypt 并进入 letsencrypt 目录

 [root@iZ2864f6btwZ ~]# git clone https://github.com/letsencrypt/letsencrypt && cd letsencrypt 

生成证书

[root@iZ2864f6btwZ letsencrypt]# ./letsencrypt-auto certonly --standalone
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator standalone, Installer None
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel): pijunhui.com a.com b.cn c.com
...

注意：
此过程将被要求邮箱、域名信息和是否同意协议
域名一定是要解析成功状态，多个域名之间用英文逗号或空格分隔
--standalone表示生成单独的证书，而不是插件形式，更多请参考 https://certbot.eff.org/docs/using.html#plugins，
Until May 2016, Certbot was named simply letsencrypt or letsencrypt-auto, depending on install method. Instructions on the Internet, and some pieces of the software, may still refer to this older name.
你还可以直接使用./letsencrypt-auto certonly --standalone --email [email protected] -d pijunhui.com -d www.pijunhui.com --agree-tos创建证书，--email是指定你的联系邮箱，接收一些通知或紧急事件，-d是指定证书将要绑定的域名，可绑定多个（建议不要超过5个），--agree-tos表示同意接受 Let’s Encrypt 的证书服务协议，更多帮助命令请使用./certbot-auto --help all查看。

查看生成的证书，生成的证书一般放在 /etc/letsencrypt/ 目录

[root@iZ2864f6btwZ letsencrypt]# ll /etc/letsencrypt/
total 24
drwx------ 3 nginx nginx 4096 Sep 27 09:30 accounts
drwx------ 3 nginx nginx 4096 Sep 27 09:41 archive
drwxr-xr-x 2 nginx nginx 4096 Sep 27 09:41 csr
drwx------ 2 nginx nginx 4096 Sep 27 09:41 keys
drwx------ 3 nginx nginx 4096 Sep 27 09:41 live
drwxr-xr-x 2 nginx nginx 4096 Sep 27 09:41 renewal
[root@iZ2864f6btwZ letsencrypt]# 
[root@iZ2864f6btwZ letsencrypt]# tree !$
tree /etc/letsencrypt/
/etc/letsencrypt/
├── accounts
│   └── acme-v01.api.letsencrypt.org
│       └── directory
│           └── 6f67ff441ef792c51b14ec84e575790a
│               ├── meta.json
│               ├── private_key.json
│               └── regr.json
├── archive
│   └── pijunhui.com
│       ├── cert1.pem
│       ├── chain1.pem
│       ├── fullchain1.pem
│       └── privkey1.pem
├── csr
│   └── 0000_csr-certbot.pem
├── keys
│   └── 0000_key-certbot.pem
├── live
│   └── pijunhui.com
│       ├── cert.pem -> ../../archive/pijunhui.com/cert1.pem
│       ├── chain.pem -> ../../archive/pijunhui.com/chain1.pem
│       ├── fullchain.pem -> ../../archive/pijunhui.com/fullchain1.pem
│       ├── privkey.pem -> ../../archive/pijunhui.com/privkey1.pem
│       └── README
└── renewal
    └── pijunhui.com.conf

11 directories, 15 files
[root@iZ2864f6btwZ letsencrypt]#

注意：
tree命令是查看目录结构，!$表示上一次命令最后使用的路径

配置 nginx

server {
        listen       80;
        listen       [::]:80;
        server_name  pijunhui.com www.pijunhui.com;
        return 301 https://pijunhui.com$request_uri;
}

server {
        listen       443;
        listen       [::]:443;

        server_name pijunhui.com;
        root   /usr/local/nginx/www/;

        ssl on;
        ssl_certificate  /etc/letsencrypt/live/pijunhui.com/fullchain.pem;
        ssl_certificate_key  /etc/letsencrypt/live/pijunhui.com/privkey.pem;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_prefer_server_ciphers on;
        ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
       
        ...
}

注意：
配置两个 server 其中 return 301 https://pijunhui.com$request_uri;是为了让全站支持https，ssl_certificate 路径
ssl_certificate /etc/letsencrypt/live/你的域名/fullchain.pem;，ssl_certificate_key 路径ssl_certificate_key /etc/letsencrypt/live/你的域名/privkey.pem;，如果绑定了多个域名，路径中的域名默认是第一个域名，其它 ssl 部分的内容保持不变。

重启 nginx 服务器或重新载入 nginx 配置文件

[root@iZ2864f6btwZ letsencrypt]# service nginx restart

注意：
每个人安装 nginx 的风格可能不一样，启动的方法也可能有所差异，请根据自身情况正确重启 nginx 服务器。

检查https站点是否访问正常

绿色安全标识

注意：
Let’s Encrypt 证书只有 90 天的有效期，所以我们想要网站持续使用 HTTPS 就必须定期去更新证书。

使用 Crontab 定时任务自动更新证书，每2个月1号凌晨30分检查更新，并将日志写入/var/log/letsencrypt-renewal.log，Crontab 命令请自行百度

[root@iZ2864f6btwZ letsencrypt]# crontab -e

...
30 0 1 1-12/2 * /root/letsencrypt/letsencrypt-auto renew >> /var/log/letsencrypt-renewal.log
...