文章目录
步骤 1：安装Certbot工具步骤 2：配置Nginx服务器步骤 3：生成SSL证书步骤 4：配置Nginx以使用SSL证书步骤 5：重新加载Nginx配置步骤 6：自动续期证书
本文介绍如何在 CentOS + Nginx 环境下，自动申请和部署Let’s Encrypt免费SSL证书。
步骤 1：安装Certbot工具
首先，确保您的CentOS系统上已安装了Certbot工具。您可以通过以下命令安装Certbot：
yum install -y epel-release
yum install -y certbot
步骤 2：配置Nginx服务器
确保您的Nginx服务器已正确配置，并且您的域名已指向服务器的公共IP地址。
步骤 3：生成SSL证书
运行以下命令生成SSL证书：
certbot certonly --webroot -w [Web站点目录] -d [站点域名] -m [联系人email地址] --agree-tos
该命令将使用Certbot工具通过Webroot插件来生成证书。eg:
certbot certonly --webroot -w /usr/local/nginx/html -d demo.hangge.com -m service@hangge.com --agree-tos
申请成功后，证书会保存在 /etc/letsencrypt/live/demo.hangge.com/ 下面.
步骤 4：配置Nginx以使用SSL证书
首先执行如下命令生成 Perfect Forward Security（PFS）键值：
mkdir /etc/ssl/private/ -p
cd /etc/ssl/private/
openssl dhparam 2048 -out dhparam.pem
打开Nginx的配置文件，通常位于 /etc/nginx/nginx.conf 或 /etc/nginx/conf.d/xxx.conf，并添加以下配置：
server {
listen 80;
server_name demo.hangge.com;
rewrite ^/(.*)$ https://demo.hangge.com/$1 permanent;
}
server {
listen 443 ssl;
server_name demo.hangge.com;
ssl_certificate /etc/letsencrypt/live/demo.hangge.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/demo.hangge.com/privkey.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_dhparam /etc/ssl/private/dhparam.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:AES:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK';
ssl_prefer_server_ciphers on;
location / {
root html;
index index.html index.htm;
}
}
确保将 demo.hangge.com 替换为您的域名。
步骤 5：重新加载Nginx配置
运行以下命令重新加载Nginx配置，使其生效：
nginx -s reload
现在，您的Nginx服务器应该已成功配置使用Let’s Encrypt免费SSL证书。
步骤 6：自动续期证书
Let’s Encrypt证书的有效期为90天。为了自动续期证书，您可以设置一个定时任务来运行Certbot命令。例如：
//更新证书
certbot renew --dry-run
//如果不需要返回的信息，可以用静默方式
certbot renew --quiet
保存并关闭文件后，运行以下命令添加一个定时任务：
sudo crontab -e
此时会进入 vi 的编辑界面让你编辑工作（每项工作都是一行）。我们在末尾添加如下一行内容，表示每月 1 号 5 时会执行执行一次更新，并重启 nginx 服务器：
00 05 01 * * /usr/bin/certbot renew --quiet && /bin/systemctl restart nginx
保存后退出，执行 crontab -l 命令可以查看 crontab 服务是否创建成功
00 05 01 * * /usr/bin/certbot renew --quiet && /bin/systemctl restart nginx
这样，您就完成了在CentOS上自动申请和部署Let’s Encrypt免费SSL证书的教程。您的网站现在应该通过安全的HTTPS连接进行访问。
发表评论