发布于 由肖俊

通配符证书 letsencrypt 生成免费的证书.

上面两排是dnspod 的TOKEN_ID

root@RasPiServer:/home/server# export DP_Id=”******”
root@RasPiServer:/home/server# export DP_Key=”d7be01*************713ea”
root@RasPiServer:/home/server# cd /home/ca/

#新申请

root@RasPiServer:/home/ca# ./acme.sh –issue  -d *.toplz.net –dns dns_dp

##更新

root@RasPiServer:/home/ca# ./acme.sh –renew  -d *.toplz.net –dns dns_dp
[Sat 24 Mar 10:20:25 CST 2018] Multi domain=’DNS:toplz.net,DNS:*.toplz.net’
[Sat 24 Mar 10:20:26 CST 2018] Getting domain auth token for each domain
[Sat 24 Mar 10:20:34 CST 2018] Getting webroot for domain=’toplz.net’
[Sat 24 Mar 10:20:34 CST 2018] Getting webroot for domain=’*.toplz.net’
[Sat 24 Mar 10:20:34 CST 2018] Found domain api file: /root/.acme.sh/dnsapi/dns_dp.sh
[Sat 24 Mar 10:20:34 CST 2018] Adding record
[Sat 24 Mar 10:20:35 CST 2018] Found domain api file: /root/.acme.sh/dnsapi/dns_dp.sh
[Sat 24 Mar 10:20:36 CST 2018] Adding record
[Sat 24 Mar 10:20:36 CST 2018] Sleep 120 seconds for the txt records to take effect
[Sat 24 Mar 10:22:38 CST 2018] Verifying:toplz.net
[Sat 24 Mar 10:22:44 CST 2018] Success
[Sat 24 Mar 10:22:44 CST 2018] Verifying:*.toplz.net
[Sat 24 Mar 10:22:50 CST 2018] Success
[Sat 24 Mar 10:22:50 CST 2018] Removing DNS records.
[Sat 24 Mar 10:22:54 CST 2018] Verify finished, start to sign.
[Sat 24 Mar 10:23:00 CST 2018] Cert success.
—–BEGIN CERTIFICATE—–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—–END CERTIFICATE—–
[Sat 24 Mar 10:23:00 CST 2018] Your cert is in /root/.acme.sh/toplz.net/toplz.net.cer
[Sat 24 Mar 10:23:00 CST 2018] Your cert key is in /root/.acme.sh/toplz.net/toplz.net.key
[Sat 24 Mar 10:23:00 CST 2018] The intermediate CA cert is in /root/.acme.sh/toplz.net/ca.cer
[Sat 24 Mar 10:23:00 CST 2018] And the full chain certs is there: /root/.acme.sh/toplz.net/fullchain.cer

 

acme.sh 实现了 acme 协议, 可以从 letsencrypt 生成免费的证书.

主要步骤:

  1. 安装 acme.sh
  2. 生成证书
  3. copy 证书到 nginx/apache 或者其他服务
  4. 更新证书
  5. 更新 acme.sh
  6. 出错怎么办, 如何调试

下面详细介绍.

1. 安装 acme.sh

安装很简单, 一个命令:

curl  https://get.acme.sh | sh

普通用户和 root 用户都可以安装使用. 安装过程进行了以下几步:

  1. 把 acme.sh 安装到你的 home 目录下:
~/.acme.sh/

并创建 一个 bash 的 alias, 方便你的使用: acme.sh=~/.acme.sh/acme.sh

2). 自动为你创建 cronjob, 每天 0:00 点自动检测所有的证书, 如果快过期了, 需要更新, 则会自动更新证书.

更高级的安装选项请参考: https://github.com/Neilpang/acme.sh/wiki/How-to-install

安装过程不会污染已有的系统任何功能和文件, 所有的修改都限制在安装目录中: ~/.acme.sh/

2. 生成证书

acme.sh 实现了 acme 协议支持的所有验证协议. 一般有两种方式验证: http 和 dns 验证.

1. http 方式需要在你的网站根目录下放置一个文件, 来验证你的域名所有权,完成验证. 然后就可以生成证书了.

acme.sh  --issue  -d mydomain.com -d www.mydomain.com  --webroot  /home/wwwroot/mydomain.com/

只需要指定域名, 并指定域名所在的网站根目录. acme.sh 会全自动的生成验证文件, 并放到网站的根目录, 然后自动完成验证. 最后会聪明的删除验证文件. 整个过程没有任何副作用.

如果你用的 apache服务器, acme.sh 还可以智能的从 apache的配置中自动完成验证, 你不需要指定网站根目录:

acme.sh --issue  -d mydomain.com   --apache

如果你用的 nginx服务器, 或者反代, acme.sh 还可以智能的从 nginx的配置中自动完成验证, 你不需要指定网站根目录:

acme.sh --issue  -d mydomain.com   --nginx

注意, 无论是 apache 还是 nginx 模式, acme.sh在完成验证之后, 会恢复到之前的状态, 都不会私自更改你本身的配置. 好处是你不用担心配置被搞坏, 也有一个缺点, 你需要自己配置 ssl 的配置, 否则只能成功生成证书, 你的网站还是无法访问https. 但是为了安全, 你还是自己手动改配置吧.

如果你还没有运行任何 web 服务, 80 端口是空闲的, 那么 acme.sh 还能假装自己是一个webserver, 临时听在80 端口, 完成验证:

acme.sh  --issue -d mydomain.com   --standalone

更高级的用法请参考: https://github.com/Neilpang/acme.sh/wiki/How-to-issue-a-cert

2. dns 方式, 在域名上添加一条 txt 解析记录, 验证域名所有权.

这种方式的好处是, 你不需要任何服务器, 不需要任何公网 ip, 只需要 dns 的解析记录即可完成验证. 坏处是，如果不同时配置 Automatic DNS API，使用这种方式 acme.sh 将无法自动更新证书，每次都需要手动再次重新解析验证域名所有权。

acme.sh  --issue  --dns   -d mydomain.com

然后, acme.sh 会生成相应的解析记录显示出来, 你只需要在你的域名管理面板中添加这条 txt 记录即可.

等待解析完成之后, 重新生成证书:

acme.sh  --renew   -d mydomain.com

注意第二次这里用的是 --renew

dns 方式的真正强大之处在于可以使用域名解析商提供的 api 自动添加 txt 记录完成验证.

acme.sh 目前支持 cloudflare, dnspod, cloudxns, godaddy 以及 ovh 等数十种解析商的自动集成.

以 dnspod 为例, 你需要先登录到 dnspod 账号, 生成你的 api id 和 api key, 都是免费的. 然后:

export DP_Id="1234"

export DP_Key="sADDsdasdgdsf"

acme.sh   --issue   --dns dns_dp   -d aa.com  -d www.aa.com -d *.aa.com

证书就会自动生成了. 这里给出的 api id 和 api key 会被自动记录下来, 将来你在使用 dnspod api 的时候, 就不需要再次指定了. 直接生成就好了:

acme.sh  --issue   -d  mydomain2.com   --dns  dns_dp

更详细的 api 用法: https://github.com/Neilpang/acme.sh/blob/master/dnsapi/README.md

3. copy/安装 证书

前面证书生成以后, 接下来需要把证书 copy 到真正需要用它的地方.

注意, 默认生成的证书都放在安装目录下: ~/.acme.sh/, 请不要直接使用此目录下的文件, 例如: 不要直接让 nginx/apache 的配置文件使用这下面的文件. 这里面的文件都是内部使用, 而且目录结构可能会变化.

正确的使用方法是使用 --installcert 命令,并指定目标位置, 然后证书文件会被copy到相应的位置, 例如:

acme.sh  --installcert  -d  <domain>.com   \
        --key-file   /etc/nginx/ssl/<domain>.key \
        --fullchain-file /etc/nginx/ssl/fullchain.cer \
        --reloadcmd  "service nginx force-reload"

(一个小提醒, 这里用的是 service nginx force-reload, 不是 service nginx reload, 据测试, reload 并不会重新加载证书, 所以用的 force-reload)

Nginx 的配置 ssl_certificate 使用 /etc/nginx/ssl/fullchain.cer ，而非 /etc/nginx/ssl/<domain>.cer ，否则 SSL Labs 的测试会报 Chain issues Incomplete 错误。

--installcert命令可以携带很多参数, 来指定目标文件. 并且可以指定 reloadcmd, 当证书更新以后, reloadcmd会被自动调用,让服务器生效.

详细参数请参考: https://github.com/Neilpang/acme.sh#3-install-the-issued-cert-to-apachenginx-etc

值得注意的是, 这里指定的所有参数都会被自动记录下来, 并在将来证书自动更新以后, 被再次自动调用.

4. 更新证书

目前证书在 60 天以后会自动更新, 你无需任何操作. 今后有可能会缩短这个时间, 不过都是自动的, 你不用关心.

5. 更新 acme.sh

目前由于 acme 协议和 letsencrypt CA 都在频繁的更新, 因此 acme.sh 也经常更新以保持同步.

升级 acme.sh 到最新版 :

acme.sh --upgrade

如果你不想手动升级, 可以开启自动升级:

acme.sh  --upgrade  --auto-upgrade

之后, acme.sh 就会自动保持更新了.

你也可以随时关闭自动更新:

acme.sh --upgrade  --auto-upgrade  0

6. 出错怎么办：

如果出错, 请添加 debug log：

acme.sh  --issue  .....  --debug

或者：

acme.sh  --issue  .....  --debug  2

请参考： https://github.com/Neilpang/acme.sh/wiki/How-to-debug-acme.sh

最后, 本文并非完全的使用说明, 还有很多高级的功能, 更高级的用法请参看其他 wiki 页面.

https://github.com/Neilpang/acme.sh/wiki

 

域名DNS服务商名称、简称、API参数和开通API对照表
API参数中Key、Secret等之类的参数都要改成你自己API的不然一样不行

服务商名称 服务商简称 所需API参数 获取API参数地址
cloudxns cx export CX_Key=”123456″
export CX_Secret=”abcdef”		 点击访问
dnspod (cn大陆版) dp export DP_Id=”123456″
export DP_Key=”abcdef”		 点击访问
aliyun ali export Ali_Key=”123456″
export Ali_Secret=”abcdef”		 点击访问
cloudflare cf export CF_Key=”123456″
export CF_Email=”abc@example.com“		 点击访问
linode linode export LINODE_API_KEY=”123456″ 点击访问
he he export HE_Username=”username”
export HE_Password=”password”		 he的用户名密码
digitalocean dgon export DO_API_KEY=”123456″ 点击访问
namesilo namesilo export Namesilo_Key=”123456″ 点击访问
aws aws export AWS_ACCESS_KEY_ID=123456
export AWS_SECRET_ACCESS_KEY=abcdef		 点击访问
namecom namecom export Namecom_Username=”username”
export Namecom_Token=”123456″		 点击访问
freedns freedns export FREEDNS_User=”username”
export FREEDNS_Password=”password”		 freedns的用户名密码
godaddy gd export GD_Key=”123456″
export GD_Secret=”abcdef”		 点击访问