Let’s Encrypt通配域名申请以及自动续期

开始HTTPS之旅

1. 获取Certbot客户端

wget https://dl.eff.org/certbot-auto
mkdir /scripts
mv certbot-auto /scripts/
chmod a+x /scripts/certbot-auto

2. 生成证书

#生成通配符证书
/scripts/certbot-auto --server https://acme-v02.api.letsencrypt.org/directory -d "*.mydomain.com" --manual --preferred-challenges dns-01 certonly
#生成域名对应证书
./certbot-auto certonly --standalone --email `你的邮箱地址` -d `你的域名地址`
#当有多个域名的时候
./certbot-auto certonly --standalone --email `你的邮箱地址` -d `你的域名1` -d `你的域名2`

#按照要求去修改域名解析的配置。添加txt解析。

3. 查看生产的证书

tree /etc/letsencrypt/live/

4. 将证书用于nginx

在nginx的配置文件中添加

    ssl           on;
    access_log off;
    ssl_certificate /etc/letsencrypt/live/mydomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mydomain.com/privkey.pem;
    #ssl_session_timeout  5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers ALL:!DH:!EXPORT:!RC4:+HIGH:+MEDIUM:-LOW:!aNULL:!eNULL;
    ssl_prefer_server_ciphers on;
    #ssl_ciphers AES256+EECDH:AES256+EDH:!aNULL;

5. 重新加载nginx或则重启

/etc/init.d/nginx reload 

通配域名自动续期

• Let’s Encrypt颁发的通配符证书每次续期需要验证一下DNS的TXT记录，这个TXT记录的值是会发生变化的。所以续期时候需要更改下DNS的TXT记录。网上流传的都是php版本的脚本。还要写shell+php，挺麻烦的。这里在网上查找另一个作者用go写了一个更新DNS记录的小程序。

报错代码

The error was: PluginError(‘An authentication script must be provided with —manual-auth-hook when using the manual plugin non-interactively.’,). Skipping.
All renewal attempts failed. The following certs could not be renewed:

• 先配置两个环境变量，最好写在/etc/profile，或者.bashrc里面，然后执行source生效

# 阿里云的access key和secret,这个可以是ram子账户授权
export CERTBOT_ALI_KEY=""
export CERTBOT_ALI_SECRET=""

• 下载certbot-alidns放到/usr/bin/就可以了。

编译好的下载，Linux版本,其他版本请自行编译；
链接: https://pan.baidu.com/s/1zk3iM-KTbJr941frtFYJkw 提取码: uxe5

/scripts/certbot-auto renew --cert-name *.mydomain.com --manual-auth-hook /usr/bin/certbot-alidns && /etc/init.d/nginx reload

• 将此程序添加到计划任务即可完成自动续签。

vim /etc/crontab
#添加如下行
0  4  18 *  * root       /scripts/certbot-auto renew --manual-auth-hook /scripts/certbot-alidns >> /tmp/certbot.log

该小程序的源码

package main
import (
    "fmt"
    "github.com/denverdino/aliyungo/dns"
    "os"
    "time"
)
var certbot_ali_key string
var certbot_ali_secret string
func init() {
    // 定义阿里云的访问key和secret
    certbot_ali_key = os.Getenv("CERTBOT_ALI_KEY")
    certbot_ali_secret = os.Getenv("CERTBOT_ALI_SECRET")
    // 判断阿里云的key和secret是否存在
    if certbot_ali_key == "" || certbot_ali_secret == "" {
        fmt.Println("请设置环境变量CERTBOT_ALI_KEY和CERTBOT_ALI_SECRET")
        os.Exit(1)
    }
}
func main() {
    client := dns.NewClient(certbot_ali_key, certbot_ali_secret)
    var args = new(dns.DescribeDomainRecordsArgs)
    args.DomainName = os.Getenv("CERTBOT_DOMAIN")
    args.RRKeyWord = "_acme-challenge"
    args.TypeKeyWord = "TXT"
    res, err := client.DescribeDomainRecords(args)
    if err == nil {
        records := res.DomainRecords.Record
        // 记录大于1执行更新，小于1执行创建
        if len(records) > 0 {
            for i := 0; i < len(records); i++ {
                var update_args = new(dns.UpdateDomainRecordArgs)
                update_args.RecordId = records[i].RecordId
                update_args.RR = "_acme-challenge"
                update_args.Value = os.Getenv("CERTBOT_VALIDATION")
                update_args.Type = "TXT"
                res, err := client.UpdateDomainRecord(update_args)
                if err == nil {
                    fmt.Println("更新成功:", res.RecordId)
                    time.Sleep(time.Duration(20) * time.Second)
                } else {
                    fmt.Println("更新失败:", err.Error())
                    os.Exit(2)
                }
            }
        } else {
            // 执行创建操作
            var add_args = new(dns.AddDomainRecordArgs)
            add_args.DomainName = os.Getenv("CERTBOT_VALIDATION")
            add_args.RR="_acme-challenge"
            add_args.Value=os.Getenv("CERTBOT_VALIDATION")
            add_args.Type="TXT"
            res,err:=client.AddDomainRecord(add_args)
            if err == nil {
                fmt.Println("创建成功:", res.RecordId)
                time.Sleep(time.Duration(20) * time.Second)
            } else {
                fmt.Println("创建失败:", err.Error())
                os.Exit(2)
            }
        }
    }
}