前言/絮叨

一年半以前曾经买过一个廉价的https/ssl证书，部署在本博客blog.path8.net上，时间大概在 2015-5-17，然而并没有正式启用，以至于过期也都没有注意。前几天想于把这个事情搞起来。以前的经验是，廉价ssl证书都是只对一个域名有效，但竟然发现Let's Encrypt的免费证书，还是多域名的。近一年的新文章里，有不少人对之大加赞扬；于是准备试试。同时也发现了腾讯云也有免费ssl证书，单域名的，免费一年，试用了一下，签发速度比较快，部署到本站上。不过还是决定使用Let's Encrypt。下面是简单记录。

CentOS + Nginx 环境下的部署

vps环境CentOS 6.x, niginx

ssh登录到服务器上操作，并且操作需要需要root权限。

1. 自动部署脚本需要epel源，如果之前没有安装先安装之 yum install epel-release

2. 在线获取签署脚本（按自己的习惯保存到合适目录）。签署脚本官方称之为客户端，有多个版本，这里使用的官方推荐的 certbot

wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto

3. 运行签署脚本。脚本里注意两人参数 -w, -d，分别是一个web目录及该目录对应的域名；多组目录就多次指定。这里只是获得证书文件，不做自动部署。（猜测是因为该脚本不支持nginx的自动部署，毕竟nginx不在centos官方源里，不同服务器上安装方式 不一样）。如下所示。

./certbot-auto certonly --webroot \
-w /var/www/html/blog.path8.net/html -d blog.path8.net \
-w /var/www/html/www.path8.net/html -d www.path8.net -d path8.net -d fengyqf.com

4. 接下来会自动通过yum安装几个依赖包，同意即可。

5. 然后是几步交互式对话：邮箱地址、同意条款、照着操作即可。因为Let's Encrypt是自动签署，速度非常快，大概整个过程只花费了两三分钟（包括交互过程里等待用户操作的时间）。

交互询问邮箱地址

使用国内dns服务（如dnspod）很容易引发域名解析失败，可以用 he.net 的免费解析服务。成功后消息如文后。

在目录里 /etc/letsencrypt/live/{your.domain.ext}/ 得到四个文件：cert.pem chain.pem fullchain.pem privkey.pem  。简单理解，前两个是给Apache用的，后两个是给Nginx用的。（注意 privkey.pem 这个文件是私钥，内容千万要保密！）

事实上这四个文件是到/etc/letsencrypt/archive/{your.domain.ext}/ 下文件的符号链接。从结构上看，更新证书时，会自动更新符号链接目标。

按脚本执行的输出，运行日志记录在 Saving debug log to /var/log/letsencrypt/letsencrypt.log

下面是签署脚本成功执行后的消息。

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/blog.path8.net/fullchain.pem. Your cert will
   expire on 2017-01-14. To obtain a new or tweaked version of this
   certificate in the future, simply run certbot-auto again. To
   non-interactively renew *all* of your certificates, run
   "certbot-auto renew"
 - If you lose your account credentials, you can recover through
   e-mails sent to f***@gmail.com.
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

6. 部署证书文件到nginx上。主要是ssl_* 的行，指定为证书路径。

    server {
        listen 80;
        listen 443 ssl;
        ssl_certificate   /{your-path-to}/fullchain.pem;
        ssl_certificate_key  /{your-path-to}/privkey.pem;
        ssl_session_timeout 5m;
        ssl_protocols TLSv1;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;
    ......
    }

7. 重新加载nginx配置 nginx -s reload  ，或者重启nginx，然后测试https访问。记得iptables放行443端口。

8. 如果需要，将http请求301重定向到https.

9. 配置定时任务以自动更新证书。重新签署证书及加载证书，将脚本加入到定时任务中，/path/to/certbot-auto renew --quiet  . 重新加载nginx配置以应用新证书的脚本如  nginx -s reload

测试ssl/https安全评级

第三方工具：https://www.ssllabs.com/ssltest/

服务器迁移至CentOS7及域名增减

2018/12/15 更新

网站服务器搬迁，从原来的centos 6升级到7，所以参考 https://certbot.eff.org/lets-encrypt/centosrhel7-nginx 的说明，centos 7下certbot安装更简单了。

yum -y install yum-utils
yum-config-manager --enable rhui-REGION-rhel-server-extras rhui-REGION-rhel-server-optional
yum install python2-certbot-nginx

迁移原服务器上/etc/letsencrypt/下几个目录到新服务器上：

/etc/letsencrypt/accounts
/etc/letsencrypt/archive
/etc/letsencrypt/csr
/etc/letsencrypt/keys
/etc/letsencrypt/live
/etc/letsencrypt/renewa

然后让nginx正常运行。修改证书关联的域名

certbot --nginx certonly --cert-name blog.path8.net -d blog.path8.net,www.path8.net,a.path8.net,...

其中 --cert-name 参数是指定证书主域名，-d 参数是修改后的域名列表

更新证书，并在更新完成后自动执行脚本。比如分发ssl证书、重加载nginx等，可以放到crontab里实现自动化

certbot renew --deploy-hook /root/script/renew_nginx_ssl.sh