如果想知道如何将http 80端口 自动 重定向到 https 443端口,请看这里 https://www.bgegao.com/2019/05/1329.html
——–
如果用着用着 证书过期了,可以重新生成一次,然后重新启动HTTP服务器
acme.sh --issue -f -d mydomain.com -d www.mydomain.com --webroot /www/wwwroot/mydomain.com
注意:如果网站目录设置了密码访问,需要先取消密码,要不然更新不会成功
———
acme.sh 实现了 acme 协议, 可以从 letsencrypt 生成免费的证书.（https://github.com/Neilpang/acme.sh/wiki/%E8%AF%B4%E6%98%8E）
主要步骤:
安装 acme.sh
生成证书
copy 证书到 nginx/apache 或者其他服务
更新证书
更新 acme.sh
出错怎么办, 如何调试
下面详细介绍.
1. 安装 acme.sh
安装很简单, 一个命令:
curl https://get.acme.sh | sh
普通用户和 root 用户都可以安装使用. 安装过程进行了以下几步:
把 acme.sh 安装到你的 home 目录下:
~/.acme.sh/
并创建 一个 bash 的 alias, 方便你的使用:
alias acme.sh=~/.acme.sh/acme.sh
2). 自动为你创建 cronjob, 每天 0:00 点自动检测所有的证书, 如果快过期了, 需要更新, 则会自动更新证书.
更高级的安装选项请参考: https://github.com/Neilpang/acme.sh/wiki/How-to-install
安装过程不会污染已有的系统任何功能和文件, 所有的修改都限制在安装目录中: ~/.acme.sh/
2. 生成证书
acme.sh 实现了 acme 协议支持的所有验证协议. 一般有两种方式验证: http 和 dns 验证.
1. http 方式需要在你的网站根目录下放置一个文件, 来验证你的域名所有权,完成验证. 然后就可以生成证书了.
acme.sh --issue -d mydomain.com -d www.mydomain.com --webroot /home/wwwroot/mydomain.com/
只需要指定域名, 并指定域名所在的网站根目录. acme.sh 会全自动的生成验证文件, 并放到网站的根目录, 然后自动完成验证. 最后会聪明的删除验证文件. 整个过程没有任何副作用.
生成证书部份到这里就可以了,下面的其它生成方法可以不看
如果你用的 apache服务器, acme.sh 还可以智能的从 apache的配置中自动完成验证, 你不需要指定网站根目录:
acme.sh --issue -d mydomain.com --apache
如果你用的 nginx服务器, 或者反代, acme.sh 还可以智能的从 nginx的配置中自动完成验证, 你不需要指定网站根目录:
acme.sh --issue -d mydomain.com --nginx
注意, 无论是 apache 还是 nginx 模式, acme.sh在完成验证之后, 会恢复到之前的状态, 都不会私自更改你本身的配置. 好处是你不用担心配置被搞坏, 也有一个缺点, 你需要自己配置 ssl 的配置, 否则只能成功生成证书, 你的网站还是无法访问https. 但是为了安全, 你还是自己手动改配置吧.
如果你还没有运行任何 web 服务, 80 端口是空闲的, 那么 acme.sh 还能假装自己是一个webserver, 临时听在80 端口, 完成验证:
acme.sh --issue -d mydomain.com --standalone
更高级的用法请参考: https://github.com/Neilpang/acme.sh/wiki/How-to-issue-a-cert
2. dns 方式, 在域名上添加一条 txt 解析记录, 验证域名所有权.
dns方式其实是acme.sh通过调用各个域名服务商的api添加TXT记录验证所有权这样的流程，所以需要考虑的是如何让acme.sh添加记录后及时生效，默认acme.sh会等待120秒后开始验证，但是很多DNS解析有120秒往往无法完成，所以此处建议使用dnspod（https://www.dnspod.cn）
dns 方式的真正强大之处在于可以使用域名解析商提供的 api 自动添加 txt 记录完成验证.
acme.sh 目前支持 cloudflare, dnspod, cloudxns, godaddy 以及 ovh 等数十种解析商的自动集成.
以 dnspod 为例, 你需要先登录到 dnspod 账号, 生成你的 api id 和 api key, 都是免费的. 然后:
export DP_Id="你创建的api token的id" export DP_Key="你创建的api token的token" acme.sh --issue --dns dns_dp -d 你的域名 -d www.你的域名
如果你想为你的每个二级域名创建证书 这里可以用到泛域名证书 ，将最后一行代码改为
acme.sh --issue --dns dns_dp -d *.你的域名 -d 你的域名
这样你所有的二级域名和域名本身都获取了证书，如果证书获取成功，会在屏幕上打印出证书存放路径
在配置Nginx 的配置 ssl_certificate 时使用 fullchain.cer(这个地方就是web服务器配置的地方了,重要)
server {
listen 443 ssl;
server_name localhost;
location / {
#代理到那个服务器 这里http://hz 指的是上面upstream 中的 hz
proxy_pass http://hz;
index index.html index.htm;
}
ssl_certificate /root/.acme.sh/*.hz1202.com/fullchain.cer;
ssl_certificate_key /root/.acme.sh/*.hz1202.com/*.hz1202.com.key;
ssl_session_cache shared:SSL:1m;
ssl_session_timeout 5m;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
}
4. 更新证书
目前证书在 60 天以后会自动更新, 你无需任何操作. 今后有可能会缩短这个时间, 不过都是自动的, 你不用关心.
5. 更新 acme.sh
目前由于 acme 协议和 letsencrypt CA 都在频繁的更新, 因此 acme.sh 也经常更新以保持同步.
升级 acme.sh 到最新版 :
acme.sh --upgrade
如果你不想手动升级, 可以开启自动升级:
acme.sh --upgrade --auto-upgrade
之后, acme.sh 就会自动保持更新了.
你也可以随时关闭自动更新:
acme.sh --upgrade --auto-upgrade 0
6. 出错怎么办：
如果出错, 请添加 debug log：
acme.sh --issue ..... --debug
或者：
acme.sh --issue ..... --debug 2
请参考： https://github.com/Neilpang/acme.sh/wiki/How-to-debug-acme.sh
最后, 本文并非完全的使用说明, 还有很多高级的功能, 更高级的用法请参看其他 wiki 页面.
https://github.com/Neilpang/acme.sh/wiki
本文部份转载自：https://github.com/Neilpang/acme.sh/wiki/%E8%AF%B4%E6%98%8E
由 比格高 提供整合