CentOS7安装Let’s Encrypt客户端Certbot获取Https证书

  • by

Let’s Encrypt是一个免费的,自动化和开放的证书颁发机构(CA),为公众的利益服务。 它是由互联网安全研究组织(ISRG)提供的服务。

Let’s Encrypt为用户提供所需的数字证书,以便用户能免费为网站启用HTTPS(SSL / TLS)。Let’s Encrypt这样做是想要创建一个更安全,更具隐私性的Web空间。

Certbot是一个部署Let’s Encrypt证书的客户端(Let’s Encrypt是一个证书发布机构CA,Let’s Encrypt支持域名加密,即为域名启用https)。Certbot能够自动的在Web服务器(Apache,Nginx等)上部署从Let’s Encrypt获取的证书,非常简单易用。

1、安装Certbot客户端

1)安装EPEL安装包源,certbot软件包包含在EPEL软件源中

yum install -y epel-release

2)安装certbot,同时安装certbot apache或者certbot nginx插件,对应自己的web服务器选择。如我的是nginx服务器,选择certbot nginx插件。

yum install certbot-nginx

安装完毕后,certbot -h  查看是否安装成功

2、申请Let’s Encrypt免费SSL证书

certbot certonly –standalone –email admin@insisi.com -d insisi.com -d zbx.insisi.com

注意:申请的时候,需要暂停nginx 80 443端口。等申请成功后,再重新开启nginx服务。

3、申请成功后,在目录 /etc/letsencrypt/live/zbx.insisi.com 下会生成4个密钥证书文件。

cert.pem  – Apache服务器端证书
chain.pem  – Apache根证书和中继证书
fullchain.pem  – Nginx所需要ssl_certificate文件
privkey.pem – 安全证书KEY文件

如果我们使用的Nginx环境,那就需要用到fullchain.pem和privkey.pem两个证书文件,在部署Nginx的时候需要用到,只要将对应的ssl_certificate和ssl_certificate_key路径设置成我们生成的2个文件就可以,最好不要移动和复制文件,因为续期的时候直接续期生成的目录文件就可以,不需要再手工复制。如下图所示:

4、检测nginx语法及重启

nginx -t

systemctl restart nginx.service

5、解决Let’s Encrypt免费SSL证书有效期问题

Let’s Encrypt证书是有效期90天的,需要我们自己手工更新续期才可以,在crontab任务里添加每月任务定时续期。我设置为每月25日凌晨4点30续期,并重启nginx。

30 04 25 * * certbot certonly –renew-by-default –email admin@insisi.com -d zbx.insisi.com

40 04 25 * * systemctl restart nginx.service

6、关于Let’s Encrypt免费SSL证书总结

通过以上几个步骤的学习和应用,我们肯定学会了利用Let’s Encrypt免费生成和获取SSL证书文件,随着Let’s Encrypt的应用普及,SSL以后直接免费不需要购买,因为大部分主流浏览器都支持且有更多的主流商家的支持和赞助,HTTPS以后看来也是趋势。在Let’s Encrypt执行过程在中我们需要解决几个问题。

A – 域名DNS和解析问题。在配置Let’s Encrypt免费SSL证书的时候域名一定要解析到当前VPS服务器,而且DNS必须用到海外域名DNS,如果用国内免费DNS可能会导致获取不到错误。本站用的腾讯云服务器,解析用的dnspod,正常使用。

B – 安装Let’s Encrypt部署之前需要服务器支持PYTHON2.7以及GIT环境,要不无法部署。

C – Let’s Encrypt默认是90天免费,需要手工或者自动续期才可以继续使用。


发表评论

电子邮件地址不会被公开。 必填项已用*标注

18 − 8 =