使用 acme.sh 获取网站证书并配置https访问

左手的ㄟ右手 2021-09-07 06:20 357阅读 0赞

**目录**

1. 安装 acme.sh

2. 生成证书

--------------------

### 1. 安装 acme.sh ###

安装很简单, 一个命令:

curl  https://get.acme.sh | sh

普通用户和 root 用户都可以安装使用. 安装过程进行了以下几步:

1.把 acme.sh 安装到你的 home 目录下:

~/.acme.sh/

并创建 一个 bash 的 alias, 方便你的使用: `alias acme.sh=~/.acme.sh/acme.sh`

2.自动为你创建 cronjob, 每天 0:00 点自动检测所有的证书, 如果快过期了, 需要更新, 则会自动更新证书.

更高级的安装选项请参考: [https://github.com/Neilpang/acme.sh/wiki/How-to-install][https_github.com_Neilpang_acme.sh_wiki_How-to-install]

安装过程不会污染已有的系统任何功能和文件, 所有的修改都限制在安装目录中: `~/.acme.sh/`

### 2. 生成证书 ###

acme.sh 实现了 acme 协议支持的所有验证协议. 一般有两种方式验证: http 和 dns 验证.

1. http 方式需要在你的网站根目录下放置一个文件, 来验证你的域名所有权,完成验证. 然后就可以生成证书了.

acme.sh  --issue  -d mydomain.com -d www.mydomain.com  --webroot  /home/wwwroot/mydomain.com/

只需要指定域名, 并指定域名所在的网站根目录. acme.sh 会全自动的生成验证文件, 并放到网站的根目录, 然后自动完成验证. 最后会聪明的删除验证文件. 整个过程没有任何副作用.

如果你用的 apache服务器, acme.sh 还可以智能的从 apache的配置中自动完成验证, 你不需要指定网站根目录:

acme.sh --issue  -d mydomain.com   --apache

如果你用的 nginx服务器, 或者反代, acme.sh 还可以智能的从 nginx的配置中自动完成验证, 你不需要指定网站根目录:

acme.sh --issue  -d mydomain.com   --nginx

注意, 无论是 apache 还是 nginx 模式, acme.sh在完成验证之后, 会恢复到之前的状态, 都不会私自更改你本身的配置. 好处是你不用担心配置被搞坏, 也有一个缺点, 你需要自己配置 ssl 的配置, 否则只能成功生成证书, 你的网站还是无法访问https. 但是为了安全, 你还是自己手动改配置吧.

如果你还没有运行任何 web 服务, 80 端口是空闲的, 那么 acme.sh 还能假装自己是一个webserver, 临时听在80 端口, 完成验证:

acme.sh  --issue -d mydomain.com   --standalone

更高级的用法请参考: [https://github.com/Neilpang/acme.sh/wiki/How-to-issue-a-cert][https_github.com_Neilpang_acme.sh_wiki_How-to-issue-a-cert]

2. dns 方式, 在域名上添加一条 txt 解析记录, 验证域名所有权.

dns方式其实是acme.sh通过调用各个域名服务商的api添加TXT记录验证所有权这样的流程，所以需要考虑的是如何让acme.sh添加记录后及时生效，默认acme.sh会等待120秒后开始验证，但是很多DNS解析有120秒往往无法完成，所以此处建议使用dnspod（https://www.dnspod.cn）

dns 方式的真正强大之处在于可以使用域名解析商提供的 api 自动添加 txt 记录完成验证.

acme.sh 目前支持 cloudflare, dnspod, cloudxns, godaddy 以及 ovh 等数十种解析商的自动集成.

以 dnspod 为例, 你需要先登录到 dnspod 账号, 生成你的 api id 和 api key, 都是免费的. 然后:

export DP_Id="你创建的api token的id"
    
    export DP_Key="你创建的api token的token"
    
    acme.sh   --issue   --dns dns_dp   -d 你的域名  -d www.你的域名

如果你想为你的每个二级域名创建证书 这里可以用到泛域名证书 ，将最后一行代码改为

acme.sh --issue --dns dns_dp -d *.你的域名 -d 你的域名

这样你所有的二级域名和域名本身都获取了证书，如果证书获取成功，会在屏幕上打印出证书存放路径

![9caa604d5376e6e1ab9eca4c64c6a9be.png][]

在配置Nginx 的配置 `ssl_certificate` 时使用 `fullchain.cer`

server {
            listen       443 ssl;
            server_name  localhost;
    
            location / {
                #代理到那个服务器 这里http://hz  指的是上面upstream 中的 hz
                 proxy_pass http://hz;
                 index index.html index.htm;
             }
    
            ssl_certificate      /root/.acme.sh/*.hz1202.com/fullchain.cer;
            ssl_certificate_key  /root/.acme.sh/*.hz1202.com/*.hz1202.com.key;
    
            ssl_session_cache    shared:SSL:1m;
            ssl_session_timeout  5m;
    
            ssl_ciphers  HIGH:!aNULL:!MD5;
            ssl_prefer_server_ciphers  on;
        }

[https_github.com_Neilpang_acme.sh_wiki_How-to-install]: https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fgithub.com%2FNeilpang%2Facme.sh%2Fwiki%2FHow-to-install
[https_github.com_Neilpang_acme.sh_wiki_How-to-issue-a-cert]: https://www.oschina.net/action/GoToLink?url=https%3A%2F%2Fgithub.com%2FNeilpang%2Facme.sh%2Fwiki%2FHow-to-issue-a-cert
[9caa604d5376e6e1ab9eca4c64c6a9be.png]: /images/20210728/e05e7e4ca9644fd29bc29305e9eb8cef.png