乐闻世界logo
搜索文章和话题
2
网站支持HTTPS协议访问,服务器定时自动更新安装免费SSL证书教程

网站支持HTTPS协议访问,服务器定时自动更新安装免费SSL证书教程

乐闻的头像
乐闻

2023年06月21日 05:11· 阅读 503

背景

为了使网站更加安全,目前越来越多的网站都支持了HTTPS协议,SSL证书是HTTPS协议请求过程中最关键的内容。目前市面上SSL证书的类型众多,有免费版本和付费版本,付费版本是花钱获取便捷服务,免费版本的SSL(Let's Encrypt SSL )证书获取安装步骤比较繁琐,而且有效期也越来越短(之前还能申请1年的,现在只能申请3个月)。

之前写过一篇「全图文详细记录安装 免费SSL证书」的教程,但是整个安装流程都是手动操作的。本文将记录如何定时检查SSL证书有效期,并且能够自动更新安装SSL证书。

详细步骤

本文基于 Contos服务器,使用 acme.sh 工具实现SSL证书安装与自动更新。如果对acme.sh感兴趣的小伙伴可以访问githubhttps://github.com/acmesh-official/acme.sh

  1. 下载安装 acme.sh

    bash
    curl <https://get.acme.sh> | sh 或者 wget -O - <https://get.acme.sh> | sh

    下载完成后会自动进行安装在 ~/.acme.sh/ 目录。可参考执行流程

    bash
    [root@VM-4-2-centos auto-certs]# curl <https://get.acme.sh> | sh % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 100 1032 0 1032 0 0 415 0 --:--:-- 0:00:02 --:--:-- 415 % Total % Received % Xferd Average Speed Time Time Time Current Dload Upload Total Spent Left Speed 100 215k 100 215k 0 0 16682 0 0:00:13 0:00:13 --:--:-- 21453 [2023年 06月 19日 星期一 23:07:32 CST] Installing from online archive. [2023年 06月 19日 星期一 23:07:32 CST] Downloading <https://github.com/acmesh-official/acme.sh/archive/master.tar.gz> [2023年 06月 19日 星期一 23:07:41 CST] Extracting master.tar.gz [2023年 06月 19日 星期一 23:07:41 CST] It is recommended to install socat first. [2023年 06月 19日 星期一 23:07:41 CST] We use socat for standalone server if you use standalone mode. [2023年 06月 19日 星期一 23:07:41 CST] If you don't use standalone mode, just ignore this warning. [2023年 06月 19日 星期一 23:07:41 CST] Installing to /root/.acme.sh [2023年 06月 19日 星期一 23:07:41 CST] Installed to /root/.acme.sh/acme.sh [2023年 06月 19日 星期一 23:07:41 CST] Installing alias to '/root/.bashrc' [2023年 06月 19日 星期一 23:07:41 CST] OK, Close and reopen your terminal to start using acme.sh [2023年 06月 19日 星期一 23:07:41 CST] Installing alias to '/root/.cshrc' [2023年 06月 19日 星期一 23:07:41 CST] Installing alias to '/root/.tcshrc' [2023年 06月 19日 星期一 23:07:41 CST] Installing cron job [2023年 06月 19日 星期一 23:07:41 CST] Good, bash is found, so change the shebang to use bash as preferred. [2023年 06月 19日 星期一 23:07:44 CST] OK [2023年 06月 19日 星期一 23:07:44 CST] Install success!

    【如果上述步骤成功执行,忽略这里的步骤】由于acme.sh下载地址在国外,国内用户可能会出现下载超时的情况,下面介绍通过从gitee上下载安装包的安装方式

    bash
    git clone <https://gitee.com/neilpang/acme.sh.git> cd acme.sh

    现在即可运行 acme.sh 脚本了,记住这个git包下载位置,后续执行脚本需要切换到这个目录下

  2. 【非必要】给脚本设置别名

    因为不同的安装方式,acme.sh的执行路径不一致,我们可以将脚本设置别名,后续acme.sh相关的执行都直接使用 acme.sh执行即可

    bash
    alias acme.sh= ~/.acme.sh/acme.sh
    bash
    // git安装方式 alias acme.sh= git文件地址/acme.sh 例如我通过git下载到服务器的/soft目录 alias acme.sh=/soft/acme.sh/acme.sh
  3. acme.sh 用户账号注册

    bash
    sudo ~/.acme.sh/acme.sh --register-account -m email@expmple.com

    执行效果

    bash
    [root@VM-4-2-centos .acme.sh]# sudo ~/.acme.sh/acme.sh --register-account -m 1025534801@qq.com [2023年 06月 19日 星期一 23:42:55 CST] No EAB credentials found for ZeroSSL, let's get one [2023年 06月 19日 星期一 23:42:58 CST] Registering account: <https://acme.zerossl.com/v2/DV90> [2023年 06月 19日 星期一 23:43:01 CST] Registered [2023年 06月 19日 星期一 23:43:01 CST] ACCOUNT_THUMBPRINT='wqj1IcdhIATpxcUBBKNPGHGDziNWCCtY7-9of6_59Qo'
  4. 【非必要】使用 sestatus 命令检查服务器上是否启动 SELinux

    acme.sh 可能与 SELinux 不兼容,建议在执行acme.sh过程中先关闭 SeLinux

    bash
    sestatus

    如果 SELinux 处于启用状态,输出结果中会显示 SELinux status: enabled

    bash
    // 关闭SELinux sudo setenforce 0 // 恢复打开SELinux sudo setenforce
  5. 生成网站域名对应的SSL证书

    执行下方命令生成证书,将 yourdomain.com 替换为你的实际域名。为了避免出现权限问题,使用root权限进行命令执行。 通过 -d 可以同时生成多个域名证书。

    bash
    sudo ~/.acme.sh/acme.sh --issue --ecc --nginx -d yourdomain.cn -d sub.yourdomain.com //例如我给自己的网站www.levenx.com生成证书 acme.sh --issue --ecc --nginx -d www.levenx.com
  6. 安装SSL证书

    通过步骤3生成证书后,需要将证书按照到服务器中,其中 --key-file 是安装SSL的key(可以自定义你想要的名字),--fullchain-fille 是完整的证书地址(可以自定义你想要的名字)

    bash
    sudo ~/.acme.sh/acme.sh --install-cert -d yourdomain.com --key-file /etc/nginx/certs/yourdomain.com.key --fullchain-file /etc/nginx/certs/fullchain.cer --reloadcmd "sudo nginx -s reload" //例如安装www.levenx.com证书 acme.sh --install-cert -d www.levenx.com --key-file /etc/nginx/certs/www.levenx.com.key --fullchain-file /etc/nginx/certs/www.levenxcom.cer --reloadcmd "sudo nginx -s reload"
  7. 修改Nginx服务器SSL证书配置

    bash
    server { listen 443 ssl; server_name yourdomain.com www.yourdomain.com; ssl_certificate /etc/nginx/certs/fullchain.cer; ssl_certificate_key /etc/nginx/certs/yourdomain.com.key; #... 其他配置项 ... }

    更新文件并重新加载你的 Nginx 服务器,尝试通过HTTPS协议访问你的网站,不出意外应该是成功的。

    上述步骤执行完成,你的网站的SSL证书已经配置完成。但是证书的有效期只有3个月,每次都需要执行命令更新SSL证书是非常繁琐的,如果你有多个域名,那么这个工作量是直接翻倍的。

    如果想一劳永逸,可以参考步骤6,开启证书到期自动更新定时。

  8. 开启证书到期自动更新定时任务

    acme.sh 提供了定时检查SSL证书有效期并自动更新的脚本,需要配置crontab定时工具使用

    bash
    acme.sh --cron

    执行效果

    bash
    [root@iZwz97uafclgkz8pcgkj0jZ .acme.sh]# acme.sh --cron [2023年 06月 21日 星期三 16:37:57 CST] ===Starting cron=== [2023年 06月 21日 星期三 16:37:57 CST] Renew: 'levenx.com' [2023年 06月 21日 星期三 16:37:57 CST] Renew to Le_API=https://acme.zerossl.com/v2/DV90 [2023年 06月 21日 星期三 16:37:57 CST] Skip, Next renewal time is: 2023-08-20T08:26:48Z [2023年 06月 21日 星期三 16:37:57 CST] Add '--force' to force to renew. [2023年 06月 21日 星期三 16:37:57 CST] Skipped levenx.com [2023年 06月 21日 星期三 16:37:57 CST] Renew: 'www.levenx.com' [2023年 06月 21日 星期三 16:37:57 CST] Renew to Le_API=https://acme.zerossl.com/v2/DV90 [2023年 06月 21日 星期三 16:37:58 CST] Skip, Next renewal time is: 2023-08-20T08:19:44Z [2023年 06月 21日 星期三 16:37:58 CST] Add '--force' to force to renew. [2023年 06月 21日 星期三 16:37:58 CST] Skipped www.levenx.com [2023年 06月 21日 星期三 16:37:58 CST] ===End cron===

设置每隔30天运行一次的定时任务

bash
0 0 1 * * /bin/bash -i -c 'acme.sh --cron --home "/root/.acme.sh"' > /var/log/acme_cron.log 2>&1

通过 tail -f acme_cron.log查询定时任务执行情况

bash
[root@iZwz97uafclgkz8pcgkj0jZ log]# tail -f acme_cron.log [Wed Jun 21 16:54:01 CST 2023] Renew to Le_API=https://acme.zerossl.com/v2/DV90 [Wed Jun 21 16:54:01 CST 2023] Skip, Next renewal time is: 2023-08-20T08:26:48Z [Wed Jun 21 16:54:01 CST 2023] Add '--force' to force to renew. [Wed Jun 21 16:54:01 CST 2023] Skipped levenx.com [Wed Jun 21 16:54:01 CST 2023] Renew: 'www.levenx.com' [Wed Jun 21 16:54:01 CST 2023] Renew to Le_API=https://acme.zerossl.com/v2/DV90 [Wed Jun 21 16:54:01 CST 2023] Skip, Next renewal time is: 2023-08-20T08:19:44Z [Wed Jun 21 16:54:01 CST 2023] Add '--force' to force to renew. [Wed Jun 21 16:54:01 CST 2023] Skipped www.levenx.com [Wed Jun 21 16:54:01 CST 2023] ===End cron===

总结

通过技术解决重复劳动是程序员的使命,希望我们不忘初心,一往无前。

本教程是博主亲身操作流程的记录,希望对大家有所帮助。如果对你有帮助,麻烦给博主点个赞~🙏

标签: