前言
众所周知 HTTPS 是保证 HTTP 通讯安全的协议，网站启用 HTTPS 可以避免很多安全性的问题， 而且 Chrome 浏览器 从 68 版本开始直接将 HTTP 网站标记为不安全了。
所以把网站升级成 HTTPS 自然是大势所趋，不过启用 HTTPS 有个最重要的问题是 HTTPS 证书要花钱！如果每年额外花钱去购买 HTTPS 证书，那也是一笔很大的开销。那么有没有免费的HTTPS证书可以用呢，查了下资料有个叫Let’s Encrypt的项目就提供了免费签发 HTTPS 证书的服务，这里记录下如何使用Let’s Encrypt来签发证书。
certbot 介绍
certbot是用于从 Let's Encrypt 获取证书的命令行工具，代码开源在github上。
使用certbot命令行工具可以轻松的实现HTTPS证书签发，在签发证书之前，需要证明签发的域名是属于你控制的，目前certbot有两种验证方式：
-
HTTP
HTTP 方式就是certbot会生成一个特定的文件名和文件内容，要求放在你对应域名下对应路径(/.well-known/acme-challenge/)下，然后certbot再通过 HTTP 请求访问到此文件，并且文件内容与生成时候的一致。例如：
certbot生成文件名check和内容!@#$%^，你需要申请的域名为baidu.com，则certbot访问http://baidu.com/.well-known/acme-challenge/check来校验是否与生成的内容一致。 -
DNS
DNS 则是certbot生成一段特定的文本，要求在你对应域名中配置一条对应子域名(_acme-challenge)的TXT类型解析记录。例如：
certbot生成内容!@#$%^，你需要申请的域名为baidu.com，则需要添加一条_acme-challenge.baidu.com的TXT类型解析记录，值为之前生成的内容。
在域名验证通过之后，certbot就可以签发HTTPS证书了，注意在此验证步骤基础上，certbot提供了很多开箱即用的自动验证方案，但是都不符合我的需求，原因是我需要支持通配符域名的证书，但是这种证书只支持DNS验证方式，而官方提供的DNS插件中并没有支持我用的阿里云DNS，所以只能自己去实现 阿里云的 DNS 自动校验。
使用 certbot 签发 HTTPS 证书
通过官网教程可以选择对应操作系统，并获取安装步骤：
这里我选择的Debian 9，根据官网的提示进行安装：
sudo apt-get install certbot -t stretch-backports
注：如果install失败可以先执行下 apt-get update
开始签发证书
certbot certonly --cert-name pdown.org -d *.pdown.org,*.proxyee-down.com --manual --register-unsafely-without-email --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory
这里签发了一个支持*.pdown.org和*.proxyee-down.com通配符域名的证书，注意如果是通配符域名证书需要指定--server https://acme-v02.api.letsencrypt.org/directory
示例：
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator manual, Installer None
Registering without email!
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v02.api.letsencrypt.org/directory
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(A)gree/(C)ancel: A
Obtaining a new certificate
Performing the following challenges:
dns-01 challenge for pdown.org
dns-01 challenge for proxyee-down.com
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
NOTE: The IP of this machine will be publicly logged as having requested this
certificate. If you're running certbot in manual mode on a machine that is not
your server, please ensure you're okay with that.
Are you OK with your IP being logged?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: Y
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name
_acme-challenge.pdown.org with the following value:
Axdqtserd184wvJc86Dxen386UXqbK2wrgb-*******
Before continuing, verify the record is deployed.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue
这里会生成一串随机字符并阻塞住，需要去设置一条对应的 TXT 类型的 DNS 解析记录再继续，在设置好之后可以用nslookup进行本地验证：
nslookup -type=txt _acme-challenge.pdown.org
服务器: UnKnown
Address: 192.168.200.200
非权威应答:
_acme-challenge.pdown.org text =
"Tit0SAHaO3MVZ4S-d6CjKLv6Z-********"
本地验证通过之后按回车键继续，接着 Let's Encrypt 就会校验这个 DNS 解析记录是否正确，校验通过后就会进行下一个域名的验证直到全部验证通过。
Waiting for verification...
Cleaning up challenges
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/pdown.org/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/pdown.org/privkey.pem
Your cert will expire on 2019-12-02. To obtain a new or tweaked
version of this certificate in the future, simply run certbot
again. To non-interactively renew *all* of your certificates, run
"certbot renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
当验证通过的时候会输出证书生成的目录，里面会包含证书和对应的私钥，这里目录是/etc/letsencrypt/live/pdown.org/。
证书截图：
这样证书就生成好了，之后只需要把证书和私钥配置到nginx中就可以用https访问了。
使用 certbot hook 自动续签
上面证书虽然是生成好了，但是证书的有效期只有三个月，意味着每过三个月就得重新签发一个新的证书，一不注意证书就过期了，而且每次手动签发都非常的繁琐需要去手动设置 DNS 解析，所以certbot提供了一种自动续签的方案：hook
在创建证书的时候certbot提供了两个hook参数：
- manual-auth-hook
指定用于验证域名的脚本文件 - manual-cleanup-hook
指定用于清理的脚本文件，即验证完成之后
通过自定义这两个脚本就可以做到自动续签了，文档参考pre-and-post-validation-hooks。
在此基础上，官方已经提供了很多云厂商的自动续签方案，但是我用的阿里云官方并没有提供，于是参照官网文档，写了一个基于阿里云的自动续签脚本，在验证域名的脚本中通过阿里提供的 DNS API 添加一条域名解析记录，在验证完成之后再把刚刚那条域名解析记录删除，命令行调用如下：
certbot certonly --cert-name pdown.org -d *.pdown.org,*.proxyee-down.com --manual --register-unsafely-without-email --manual-auth-hook /path/to/dns/authenticator.sh --manual-cleanup-hook /path/to/dns/cleanup.sh --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory
为了方便使用，提供了一个docker镜像，通过环境变量将阿里云 API 调用的 AK 传递就可以生成和续签证书了。
- 启动容器
docker run \
--name cert \
-itd \
-v /etc/letsencrypt:/etc/letsencrypt \
-e ACCESS_KEY_ID=XXX \
-e ACCESS_KEY_SECRET=XXX \
liwei2633/certbot-aliyun
- 首次创建证书
docker exec -it cert ./create.sh *.pdown.org
创建过程中会等待一段时间，来确保 dns 记录生效，完成之后在/etc/letsencrypt/live目录下可以找到对应的证书文件
- 续签证书
docker exec cert ./renew.sh
代码开源在github，欢迎 start。
本文首发于我的博客：https://monkeywie.cn，欢迎收藏！不定期分享
JAVA、Golang、前端、docker、k8s等干货知识。