CentOS 7 Nginx Let’ s Encrypt SSL 证书安装配置

发表于2016-03-03由jgh004

浏览量: 955

更新时间：2019-04-29

Let’ s Encrypt 是一个免费的 SSL/TLS 证书发行机构, 证书有效期为90天, 到期前30内可续期, 实现永久免费.

本次安装使用的服务器配置:

1CPU,1G, 优惠码
CentOS 7.5
nginx 1.15.3

Let’ s Encrypt SSL 证书的的获取并不是像其他网站一样, 在页面上填写资申请证书, 而是需要在域名所在的服务器上安装一个客户端(python写的)去获取证书和续期.

目前 Let’ s Encrypt 支持两种类型的证书，一种是必须显示指定域名的证书，另一种是通配符证书，两种证书的申请方式略有不同。

使用 Certbot 客户端

Certbot 客户端是现在官方推荐的客户端

certbot 官网

客户端安装

yum install certbot

1	yum install certbot

运行 certbot，测试程序是否正常。

certbot

certbot

如果运行正常，将出现类似下面的提示。

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Certbot doesn't know how to automatically configure the web server on this system. However, it can still get a certificate for you. Please run "certbot certonly" to do so. You'll need to manually configure your web server to use the resulting certificate.

Saving debug log to /var/log/letsencrypt/letsencrypt.log

Certbot doesn't know how to automatically configure the web server on this system. However, it can still get a certificate for you. Please run "certbot certonly" to do so. You'll need to manually configure your web server to use the resulting certificate.

如果某些依赖包版本过低或不匹配，则可能会出现类似下面的提示。

Traceback (most recent call last):
  File "/usr/bin/certbot", line 9, in <module>
    load_entry_point('certbot==0.26.1', 'console_scripts', 'certbot')()
  File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 570, in load_entry_point
    return get_distribution(dist).load_entry_point(group, name)
  File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2751, in load_entry_point
    return ep.load()
  File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2405, in load
    return self.resolve()
  File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2411, in resolve
    module = __import__(self.module_name, fromlist=['__name__'], level=0)
  File "/usr/lib/python2.7/site-packages/certbot/main.py", line 18, in <module>
    from certbot import account
  File "/usr/lib/python2.7/site-packages/certbot/account.py", line 18, in <module>
    from acme import messages
  File "/usr/lib/python2.7/site-packages/acme/messages.py", line 7, in <module>
    from acme import challenges
  File "/usr/lib/python2.7/site-packages/acme/challenges.py", line 11, in <module>
    import requests
  File "/usr/lib/python2.7/site-packages/requests/__init__.py", line 58, in <module>
    from . import utils
  File "/usr/lib/python2.7/site-packages/requests/utils.py", line 32, in <module>
    from .exceptions import InvalidURL
  File "/usr/lib/python2.7/site-packages/requests/exceptions.py", line 10, in <module>
    from .packages.urllib3.exceptions import HTTPError as BaseHTTPError
  File "/usr/lib/python2.7/site-packages/requests/packages/__init__.py", line 95, in load_module
    raise ImportError("No module named '%s'" % (name,))
ImportError: No module named 'requests.packages.urllib3'

Traceback (most recent call last):

File "/usr/bin/certbot", line 9, in <module>

load_entry_point('certbot==0.26.1', 'console_scripts', 'certbot')()

File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 570, in load_entry_point

return get_distribution(dist).load_entry_point(group, name)

File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2751, in load_entry_point

return ep.load()

File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2405, in load

return self.resolve()

File "/usr/lib/python2.7/site-packages/pkg_resources/__init__.py", line 2411, in resolve

module = __import__(self.module_name, fromlist=['__name__'], level=0)

File "/usr/lib/python2.7/site-packages/certbot/main.py", line 18, in <module>

from certbot import account

File "/usr/lib/python2.7/site-packages/certbot/account.py", line 18, in <module>

from acme import messages

File "/usr/lib/python2.7/site-packages/acme/messages.py", line 7, in <module>

from acme import challenges

File "/usr/lib/python2.7/site-packages/acme/challenges.py", line 11, in <module>

import requests

File "/usr/lib/python2.7/site-packages/requests/__init__.py", line 58, in <module>

from . import utils

File "/usr/lib/python2.7/site-packages/requests/utils.py", line 32, in <module>

from .exceptions import InvalidURL

File "/usr/lib/python2.7/site-packages/requests/exceptions.py", line 10, in <module>

from .packages.urllib3.exceptions import HTTPError as BaseHTTPError

File "/usr/lib/python2.7/site-packages/requests/packages/__init__.py", line 95, in load_module

raise ImportError("No module named '%s'" % (name,))

ImportError: No module named 'requests.packages.urllib3'

根据所缺少的依赖包的不同，提示内容可能不同，使用下面的命令尝试修复。

#升级pip
pip install -U pip

#升级相关包,指定 requests 包的版本为 2.6.0, 使用其它版本可能无法解决依赖问题。
pip install --upgrade --force-reinstall 'requests==2.6.0' urllib3 pyOpenSSL

#升级pip

pip install -U pip

#升级相关包,指定 requests 包的版本为 2.6.0, 使用其它版本可能无法解决依赖问题。

pip install --upgrade --force-reinstall 'requests==2.6.0' urllib3 pyOpenSSL

再次运行 certbot ，程序正常。

一. 申请固定域名证书

安装 nginx

参考《CentOS 7 配置 LNMP + FTP 环境》中的 “安装 nginx”， “配置 Nginx”，“允许通过防火墙” 章节。

获取证书

申请过程中要验证绑定的域名是否属于申请人, 其原理就是申请人在域名所在的服务器上申请证书, 然后 Let’ s Encrypt 会访问绑定的域名与客户端通信成功即可通过.

这个验证的方法有两种, 一种需要停止当前的 web server 服务, 让出 80 端口, 由客户端内置的 web server 启动与 Let’ s Encrypt 通信. 另一种不需要停止当前 web server , 但需要在域名根目录下创建一个临时目录, 并要保证外网通过域名可以访问这个目录.

#在web根目录创建临时目录,可能要修改nginx rewrite 规则才能从外网访问
mkdir -p /usr/share/nginx/html/.well-known/acme-challenge

#--webroot 参数:指定使用临时目录的方式. -w 参数:指定后面-d 域名所在的根目录, 如果一次申请多个域的, 可以附加更多 -w...-d... 这段.
certbot certonly --webroot --email xxx@xxx.com -w /usr/share/nginx/html -d www.xxx.com -d xxx.com

#在web根目录创建临时目录,可能要修改nginx rewrite 规则才能从外网访问

mkdir -p /usr/share/nginx/html/.well-known/acme-challenge

#--webroot 参数:指定使用临时目录的方式. -w 参数:指定后面-d 域名所在的根目录, 如果一次申请多个域的, 可以附加更多 -w...-d... 这段.

certbot certonly --webroot --email xxx@xxx.com -w /usr/share/nginx/html -d www.xxx.com -d xxx.com

执行此命令后会生成证书, 保存在 /etc/letsencrypt/live 中对应的域名目录下面, 其实这里面并不是真正的证书文件,而是通过软连接的形式链到了 /etc/letsencrypt/archive 中对应的域名目录下.

证书自动续期

renew 参数是官方推荐的续期方式, 使用这个参数会遍历 /etc/letsencrypt/live 下所有的证书, 如果证书在可续期的时间范围内(过期前30天内), 就会申请新的证书并替换原有证书, 否则跳过.

#使用 --dry-run 参数测试续期命令, 使用这个参数并不会真正续期证书
certbot renew --dry-run

#正式续期证书
certbot renew

#使用 --dry-run 参数测试续期命令, 使用这个参数并不会真正续期证书

certbot renew --dry-run

#正式续期证书

certbot renew

设置定时自动续期

可以将 certbot renew 命令加入到 cron 中定时执行

#--quiet 参数表示禁止输出除了错误信息以外的任何信息
certbot renew --quiet

1 2	#--quiet 参数表示禁止输出除了错误信息以外的任何信息 certbot renew --quiet

编辑定时任务

nano /etc/crontab

1	nano /etc/crontab

我这里设置为每月28号23点执行此脚本. 更新证书后重启 nginx.

#分 时 日 月 星期 执行用户 执行命令
0 23 28 * * root certbot renew --quiet && systemctl restart nginx

1 2	#分时日月星期执行用户执行命令 0 23 28 * * root certbot renew --quiet && systemctl restart nginx

或使用官方方法

#分 时 日 月 星期 执行用户 执行命令
0 23 28 * * root certbot renew --quiet --deploy-hook "systemctl restart nginx"

1 2	#分时日月星期执行用户执行命令 0 23 28 * * root certbot renew --quiet --deploy-hook "systemctl restart nginx"

保存退出

#加载定时任务, 使之生效
crontab /etc/crontab

#查看任务
crontab -l

#加载定时任务, 使之生效

crontab /etc/crontab

#查看任务

crontab -l

二. 申请通配符证书

申请通配符证书不需要nginx. 但需要验证域名的 dns, 原理就是在域名dns记录中写入一条txt类型的记录。

如果要实现自动化的申请和续期，certbot 所在的服务器必须能够访问域名dns服务，certbot 提供了一些国外的dns服务商的验证组件。国内的阿里云，腾讯云可以使用第三方提供的验证组件，如：https://github.com/ywdblog/certbot-letencrypt-wildcardcertificates-alydns-au

下载此项目源码到指定目录

cd /root
git clone https://github.com/ywdblog/certbot-letencrypt-wildcardcertificates-alydns-au

1 2	cd /root git clone https://github.com/ywdblog/certbot-letencrypt-wildcardcertificates-alydns-au

修改 api 授权 token

cd /root/certbot-letencrypt-wildcardcertificates-alydns-au
nano au.sh

1 2	cd /root/certbot-letencrypt-wildcardcertificates-alydns-au nano au.sh

这里以阿里云为例，找到 ALY_KEY= 及 ALY_TOKEN= 参数，改为你申请的 key 和 token, 如果申请请参考该组件 github 上的说明。

ALY_KEY="xxxxxxxxxxx"
ALY_TOKEN="xxxxxxxx"

1 2	ALY_KEY="xxxxxxxxxxx" ALY_TOKEN="xxxxxxxx"

保存退出。

申请证书，如果想申请通配符证书，除根域名外，最多只能有一个二级域名，且二级为*号

#申请通配符证书,除根域名外，只能是 *.xxx.com, 其他任何二级域名都是多余的
certbot certonly --manual --preferred-challenges dns --manual-auth-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly add" --manual-cleanup-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly clean" --email xxx@xxx.com -d xxx.com -d *.xxx.com

#申请指定域名证书,可以有多个 -d 
certbot certonly --manual --preferred-challenges dns --manual-auth-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly add" --manual-cleanup-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly clean" --email xxx@xxx.com -d xxx.com -d aa.xxx.com -d bb.xxx.com

#申请通配符证书,除根域名外，只能是 *.xxx.com, 其他任何二级域名都是多余的

certbot certonly --manual --preferred-challenges dns --manual-auth-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly add" --manual-cleanup-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly clean" --email xxx@xxx.com -d xxx.com -d *.xxx.com

#申请指定域名证书,可以有多个 -d

中途需要输入 y 确认，等待一会就申请成功了。

自动续期

nano /etc/crontab

1	nano /etc/crontab

输入以下内容

#分 时 日 月 星期 执行用户 执行命令
0 23 28 * * root certbot renew --quiet --manual --preferred-challenges dns --manual-auth-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly add" --manual-cleanup-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly clean" --deploy-hook "systemctl restart nginx | systemctl restart strongswan"

#分时日月星期执行用户执行命令

0 23 28 * * root certbot renew --quiet --manual --preferred-challenges dns --manual-auth-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly add" --manual-cleanup-hook "/root/certbot-letencrypt-wildcardcertificates-alydns-au/au.sh python aly clean" --deploy-hook "systemctl restart nginx | systemctl restart strongswan"

保存退出

#加载定时任务, 使之生效
crontab /etc/crontab

#查看任务
crontab -l

#加载定时任务, 使之生效

crontab /etc/crontab

#查看任务

crontab -l

三. 扩展部分

配置 Nginx SSL 证书

nano /etc/nginx/conf.d/default.conf

1	nano /etc/nginx/conf.d/default.conf

找到 SSL 证书对应域名的 Server 段, 修改为如下设置(根据自身需求做调整)

#设置非安全连接永久跳转到安全连接
server{
    listen 80;
    server_name www.xxx.com xxx.com *.www.xxx.com;
    #告诉浏览器有效期内只准用 https 访问
    add_header Strict-Transport-Security max-age=15768000;
    #永久重定向到 https 站点
    return 301 https://$server_name$request_uri;
}
server {
    #启用 https, 使用 http/2 协议, nginx 1.9.11 启用 http/2 会有bug, 已在 1.9.12 版本中修复.
    listen 443 ssl http2;
    server_name www.xxx.com xxx.com *.www.xxx.com;
    #告诉浏览器当前页面禁止被frame
    add_header X-Frame-Options DENY;
    #告诉浏览器不要猜测mime类型
    add_header X-Content-Type-Options nosniff;
    root /usr/share/nginx/html/wordpress;

    #证书路径
    ssl_certificate /etc/letsencrypt/live/xxx.com/fullchain.pem;
    #私钥路径
    ssl_certificate_key /etc/letsencrypt/live/xxx.com/privkey.pem;
    #安全链接可选的加密协议
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    #可选的加密算法,顺序很重要,越靠前的优先级越高.
    ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-RC4-SHA:!ECDHE-RSA-RC4-SHA:ECDH-ECDSA-RC4-SHA:ECDH-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:HIGH:!RC4-SHA:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!CBC:!EDH:!kEDH:!PSK:!SRP:!kECDH;
    #在 SSLv3 或 TLSv1 握手过程一般使用客户端的首选算法,如果启用下面的配置,则会使用服务器端的首选算法.
    ssl_prefer_server_ciphers on;
    #储存SSL会话的缓存类型和大小
    ssl_session_cache shared:SSL:10m;
    #缓存有效期
    ssl_session_timeout 60m;

    #省略后面与证书无关的设置
}

#设置非安全连接永久跳转到安全连接

server{

listen 80;

server_name www.xxx.com xxx.com *.www.xxx.com;

#告诉浏览器有效期内只准用 https 访问

add_header Strict-Transport-Security max-age=15768000;

#永久重定向到 https 站点

return 301 https://$server_name$request_uri;

}

server {

#启用 https, 使用 http/2 协议, nginx 1.9.11 启用 http/2 会有bug, 已在 1.9.12 版本中修复.

listen 443 ssl http2;

server_name www.xxx.com xxx.com *.www.xxx.com;

#告诉浏览器当前页面禁止被frame

add_header X-Frame-Options DENY;

#告诉浏览器不要猜测mime类型

add_header X-Content-Type-Options nosniff;

root /usr/share/nginx/html/wordpress;

#证书路径

ssl_certificate /etc/letsencrypt/live/xxx.com/fullchain.pem;

#私钥路径

ssl_certificate_key /etc/letsencrypt/live/xxx.com/privkey.pem;

#安全链接可选的加密协议

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

#可选的加密算法,顺序很重要,越靠前的优先级越高.

ssl_ciphers ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-RC4-SHA:!ECDHE-RSA-RC4-SHA:ECDH-ECDSA-RC4-SHA:ECDH-RSA-RC4-SHA:ECDHE-RSA-AES256-SHA:HIGH:!RC4-SHA:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!CBC:!EDH:!kEDH:!PSK:!SRP:!kECDH;

#在 SSLv3 或 TLSv1 握手过程一般使用客户端的首选算法,如果启用下面的配置,则会使用服务器端的首选算法.

ssl_prefer_server_ciphers on;

#储存SSL会话的缓存类型和大小

ssl_session_cache shared:SSL:10m;

#缓存有效期

ssl_session_timeout 60m;

#省略后面与证书无关的设置

}

保存配置, 重新加载 Nginx 配置或重启.

#重新加载配置
systemctl reload nginx
#或重启nginx
systemctl restart nginx

#重新加载配置

systemctl reload nginx

#或重启nginx

systemctl restart nginx

到这步, Nginx 的 SSL 证书就配置完成了, 打开浏览器访问网站就会启用 https, 看到绿色安全锁的图标.

规范页面中的链接

如果你发现浏览器中的安全锁上带有叹号, 说明页面中引用到了非 https 的链接, 你可能要花上一点时间来修改这些链接, 如果是本站资源, 可以使用相对地址, 如果是外部资源, 要先看外部资源是否支持 https, 如果支持改为 https 地址即可,如果不支持则要想办法替换为 https 资源或将资源保存到本地并使用相对地址.