Let‘s Encrypt 免费SSL证书相关

一、简介

Let’s Encrypt —— 是一个由非营利性组织 互联网安全研究小组（ISRG）提供的免费、自动化和开放的证书颁发机构（CA），简单的说，就是为网站提供免费的 SSL/TLS 证书

二、安装Let’s Encrypt前的准备工作

根据官方的要求，我们在VPS、服务器上部署Let’s Encrypt免费SSL证书之前，需要系统支持Python2.7以上版本以及支持GIT工具。这个需要根据我们不同的系统版本进行安装和升级，因为有些服务商提供的版本兼容是完善的，尤其是debian环境兼容性比CentOS好一些。

三、快速获取Let’s Encrypt免费SSL证书

PS：在获取某个站点证书文件的时候，我们需要在安装PYTHON2.7以及GIT，更需要将域名解析到当前主机IP中。
1，下载 letsencrypt git clone https://github.com/letsencrypt/letsencrypt
2，进入letsencrypt目录 cd letsencrypt
3，为此域名warranty.droconshop.com申请证书，

./letsencrypt-auto certonly --email 111@qq.com -d  warranty.droconshop.com

4，申请成功界面如下：证书存放路径输出的信息中有

四、常见错误

1，nginx路径不一致

解决方法：/certbot-auto --nginx --nginx-server-root=/usr/localinx/conf

2，访问权限的问题，生成证书的过程会启动web服务，无法启动nginx服务

解决方法：修改权限即可

3，当我打开www.example.com的时候，网页正常，当我尝试打开example.com时,浏览器会显示SSL_ERROR_BAD_CERT_DOMAIN“您的连接不安全”错误.这时只需要执行下列命令即可

./letsencrypt-auto certonly --standalone -d www.example.com -d example.com

注意：A - 域名DNS和解析问题。在配置Let’s Encrypt免费SSL证书的时候域名一定要解析到当前VPS服务器，而且DNS必须用到海外域名DNS，如果用国内免费DNS可能会导致获取不到错误。

B - 安装Let’s Encrypt部署之前需要服务器支持PYTHON2.7以及GIT环境，要不无法部署。

C - Let’s Encrypt默认是90天免费，需要手工或者自动续期才可以继续使用。

五、自动续期

注意：如服务器已启用了 https 服务，则先停止它。certbot-auto 在作验证时会使用 433 端口。

#下载 certbot-auto
wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto
#执行自动安装,该命令会尝试自动配置 nginx ,你也可以使用下条命令只生成适合 nginx 使用的证书，然后手动配置 nginx
./certbot-auto --nginx
#生成适合 nginx 使用的证书
certbot-auto --nginx certonly
#生成成功后，可以查看证书状态
./certbot-auto certificates
#测试自动更新
./certbot-auto renew --dry-run
#执行自动更新
service nginx stop
./certbot-auto renew
service nginx start
#查看证书状态
./certbot-auto certificates

备注：certbot-auto默认所在文件夹：/root/letsencrypt