启动Https,需要从证书授权机构(简称CA)处获取一个证书,Let's Encrypt就是一个CA
Let's Encrypt上可以获得免费的ssl证书,时间是3个越
下面通过Nginx和Let's Encrypt让网站升级到HTTPS
Certbot简介
Certbot是Let's Encrypt官方推荐的获取证书的客户端
Centos 7.9操作
yum install certbot
获取证书有两种方式
第一种
certbot certonly --webroot -w /var/www/example -d www.example.com -d example.com
certbot certonly --webroot -w /var/www/example -d *.example.com -d example.com
certbot certonly --webroot -w /var/www/example -d www.example.com -d example.com -p xxx.example
上面这样都是可以的
一般我们
certbot certonly --webroot -w /var/www/example -d www.example.com -d example.com 就好了 泛域名反而有时也用不到 甚至微服务分开部署 .......
这种方式会为www.example.com和example.com这两个域名生成一个证书,使用 --webroot模式会在/var/www/example中创建 .well-known问价夹,这个文件夹里包含一些验证文件 会通过访问 example.com/.well-known/acme-challenge 来验证你的域名是否绑定的这个服务器
--webroot 模式 需要自己提前启动nginx 因为一会它会来验证
server {
listen 80;
server_name www.example.com example.com;
location / {
root /var/www/example;
}
}
-----------------------------------------------------------------------------
server {
listen 80;
server_name www.example.com example.com;
location /.well-known/acme-challenge {
root /var/www/example;
}
location / {
return 301 https://$host$request_uri;
}
}
# HTTP server
server {
listen 80;
server_name yourdomain.com www.yourdomain.com;
# Redirect all HTTP requests to HTTPS
return 301 https://$host$request_uri;
}
# HTTPS server
然后启动nginx 注意你域名DNS已经指向该服务器IP
首先创建文件夹
mkdir -p /var/www/example
然后
certbot certonly --webroot -w /var/www/example -d www.example.com -d example.com
cloudflare 代理关掉 没理明白
另外一种模式是
--standalone
这种模式不需要指定网站根目录，他会自动启用服务器的443端口，来验证域名的归属。我们有其他服务（例如nginx）占用了443端口，就必须先停止这些服务，在证书生成完毕后，再启用。
--standalone模式 在验证过程中不需要你去配置nginx 验证时会自启服务
续期命令
certbot renew --dry-run 无论三个月到没到 都可以续期 无论哪种模式
注意用这个命令时候要保证80端口
如果你原先用的是
--standalone模式
那么需要关闭 nginx 因为certbot自己要启动443服务
自动续签 自动续签最好用 --standalone模式
因为可以通过定时任务
先关闭nginx 然后续签SSL之后 再启动nginx
如果你用
--webroot 模式 那么总是要配置 下面这段代码
server {
listen 80;
server_name www.example.com example.com;
#charset koi8-r;
#access_log logs/host.access.log main;
location / {
root /var/www/example;
}
# Redirect all HTTP requests to HTTPS
#return 301 https://$host$request_uri;
error_page 500 502 503 504 /50x.html;
location = /50x.html {
root html;
}
}
定时任务 在 --standalone模式下
执行 crontab -e
输入下面命令
30 4 * */2 * certbot renew --pre-hook "/usr/local/nginx/sbin/nginx -s stop" --post-hook "/usr/local/nginx/sbin/nginx"
表示每两个月的4:30执行任务 刷新一次
下面用 --standalone模式来一遍
mkdir -p /var/www/example
certbot certonly --standalone -w /var/www/example -d www.example.com -d example.com
那么你现在可以将ssl配置好 启动nginx 验证certbot自己起服务做好了
crontab -e
/var/spool/cron 下会有个root文件 (看你是用什么用户登录的)
这样 定时任务会自动执行
