let'encript 解决证书问题

今天服务器let'encript证书过期了,年纪大了老忘，不得不把别人的博客看一遍，就是因为我不想定时任务执行acme_tiny.py，还是写个文档记下，很久不写对外博客了，冒个泡。

1、创建普通域名私钥

openssl genrsa 4096 > domain.key

2、单个域名('xxx.xxx.com')

openssl req -new -sha256 -key domain.key -subj "/CN=域名" > domain.csr

3、域名验证

搭建一个web服务，以nginx为例，配置nginx.conf文件，并保证处于启动状态，并且外网80能访问

server {

listen 80;

server_name 域名;

location ^~ /.well-known/acme-challenge/ {

alias /tmp/ssl/;  //随便设置一个服务器上已经存在的目录

try_files $uri =404;

}

}

4、在目录/path/to获取网站证书

下载证书生成工具acme_tiny

wget https://raw.githubusercontent.com/diafygi/acme-tiny/master/acme_tiny.py

openssl创建一个私钥account.key用于acme_tiny.py 账户account-key

openssl genrsa 4096 > account.key

指定账户私钥、CSR 、验证目录

python acme_tiny.py --account-key ./account.key --csr ./domain.csr --acme-dir /tmp/ssl/> ./signed.crt

创建中间证书并和网站证书融合

wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > intermediate.pem

cat signed.crt intermediate.pem > chained.pem

注意中间证书跟网站证书版本一定要保证一致，不然即使，网站访问的时候虽然没有问题，但是一些严格必须遵循ssl第三方服务平台会认证不通过，比如：微信小程序

给nginx 443端口配置上我们生成的证书

server {

listen 443;

server_name 域名;

ssl on;

ssl_certificate /path/to/chained.pem;

ssl_certificate_key /path/to/domain.key;

ssl_session_timeout 5m;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA;

ssl_session_cache shared:SSL:50m;

ssl_prefer_server_ciphers on;

}

另外该证书有效期只有90天，可以把上面的命令行写成一个.sh命令用crontab跑起来

#!/usr/bin/sh
python /path/to/acme_tiny.py --account-key /path/to/account.key --csr /path/to/domain.csr --acme-dir /tmp/ssl/ > /tmp/signed.crt || exit
wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > intermediate.pem
cat /tmp/signed.crt intermediate.pem > /path/to/chained.pem
service nginx reload