Let's Encrypt证书生成，certbot-auto 生成ssl通用证书 配置https 自动续期

Let’s Encrypt是一个 CA 机构，但这个 CA 机构是免费的！！！签发证书不需要任何费用, 为了实现通配符证书，Let’s Encrypt 对 ACME 协议的实现进行了升级，只有 v2 协议才能支持通配符证书。

https://certbot.eff.org/ 证书生成工具， 我们可以通过网站选择对应的系统软件来生成。

我们通过certbot-auto自动生成工具来操作。

下载

wget https://dl.eff.org/certbot-auto
chmod +x certbot-auto

生成证书

./certbot-auto certonly --email 450370050@qq.com -d *.xxxx.com --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory

certonly 表示安装模式，Certbot 有安装模式和验证模式两种类型的插件。

–manual 表示手动安装插件，Certbot 有很多插件，不同的插件都可以申请证书，用户可以根据需要自行选择

-d 为那些主机申请证书，如果是通配符，输入 *.xxxx.com （可以替换为你自己的域名）

–preferred-challenges dns，使用 DNS 方式校验域名所有权

–server，Let’s Encrypt ACME v2 版本使用的服务器不同于 v1 版本，需要显示指定。

操作交互流程

• 是否同意 Let’s Encrypt 协议要求

• 询问是否对域名和机器（IP）进行绑定

• 域名验证 dns解析增加TXT配置

注：最后一步需要dns配置成功生效后再继续
出现TXT验证时先配置dns的txt解析并验证txt解析生效

dig -t txt _acme-challenge.xxxx.com @8.8.8.8

创建成功 /etc/letsencrypt/live/xxxx.com/下会生成4个文件，请勿更改ssl文件位置，这样可以减少自动续期时的操作

cert.pem  - Apache服务器端证书  
chain.pem  - Apache根证书和中继证书  
fullchain.pem  - Nginx所需要ssl_certificate文件  
privkey.pem - 安全证书KEY文件
Nginx环境，就只需要用到fullchain.pem和privkey.pem两个证书文件

测试证书

openssl x509 -in /etc/letsencrypt/live/xxxx.com/fullchain.pem -noout -text

nginx 配置

增加443端口监听

listen 443 ssl;

增加ssl配置

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
ssl_session_cache builtin:1000 shared:SSL:10m;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;
ssl_prefer_server_ciphers on;
ssl_certificate /etc/letsencrypt/live/xxxx.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/xxxx.com/privkey.pem;
ssl_session_timeout 5m;
ssl_session_tickets o