HTTPS 最新免费配置攻略

HTTPS 全新免费攻略(本文只针对Centos+Nginx)

1.最简单的阿里云免费证书

截止当前2018.11.19，阿里云DNS解析配置处可以直接申请免费SSL证书，但限制1年有效期，且每个域名下只能申请3个单域名，美其名曰测试专用。申请完成后，下载证书直接nginx配置即可。阿里云在云盾证书过期前会有通知提醒。
阿里云证书购买那边怎么显示出免费的证书就不表了。

2.Let's Encrypt + Certbot（手动验证）

不想付费，又想随意申请免费证书，看这里官方文档。

1. 安装Certbot: yum install -y epel-release && yum install -y certbot（certbot 出现python相关的安装问题，参考附录【4】）
2. Nginx 配置 Certbot 手动验证的路径
   在原 Nginx的 server 下添加以下配置

server {
    ...
    location ^~ /.well-known/acme-challenge/ {
       default_type "text/plain";
       root     /usr/share/nginx/certbot;
    }
    location = /.well-known/acme-challenge/ {
       return 404;
    }
    ...
}

Certbot 会在/usr/share/nginx/certbot生成相应的验证文件并确认域名。

3. Certbot 验证域名，成功后生成证书

sudo certbot certonly --webroot -w /usr/share/nginx/certbot -d www.host.com

请替换 [www.host.com] 成相应的域名。

4. Nginx 配置证书

server {
    listen       443 ssl;
    server_name  www.host.com;

    charset utf-8;
    access_log  /var/log/nginx/log/https_api.access.log  main;

    ssl_certificate   /etc/letsencrypt/live/www.host.com/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/www.host.com/privkey.pem;
    ssl_session_timeout 5m;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ...
}

（Docker Nginx下的坑，因为Certbot 生成的证书是软连接文件，在配置证书路径的时候要包含 /etc/letsencrypt/ 整个路径，不然nginx启动时候找不到对应的证书，会报错SSL: error:02001002:system library:fopen:No such file or directory:...）

5. Certbot 自动更新, Let's Encrypt 的证书有效期只有3个月，不想服务器突然挂了，就配置好自动更新吧(注意nginx 要重启，不能重载nginx -s reload 只会坑死你，别问我怎么知道的。。。宕机半小时多吓死人了)。

# 更新证书测试
certbot renew --dry-run 

# 验证证书过期时间
openssl x509 -noout -dates -in /etc/letsencrypt/live/[www.host.com]/cert.pem

# 定时更新证书，并重启nginx服务器（systemctl）
crontab -e 

# add
0 2 1 * * /usr/bin/certbot renew --quiet && /bin/systemctl restart nginx

# or docker
# add
0 2 1 * * /usr/bin/certbot renew --quiet && docker ps | grep 'nginx:latest' | awk '{print "docker restart " $1}' | sh

参考：

• 官方文档
• CentOS 7 下 Nginx 安装使用 Let’ s Encrypt 证书的完整过程 · Ruby China
• 手把手教你在Nginx上使用CertBot - 业余程序员 - SegmentFault 思否
• Certbot - Centosrhel7 Nginx
• centos7部署certbot 出现 requests.packages.urllib3 错误 的处理 - 我爱折腾