Letsencrypt SSL 证书过期问题

Letsencrypt SSL 证书过期问题

最近 Letsencrypt 的根证书 “DST Root CA X3” 过期导致一些设备出现问题。

目前 Letencrypt 有两个证书链：

证书链1：

DST Root CA X3 (1) -> ISRG Root X1 (2) -> R3 (3) -> youside.com (4)

证书链2：

ISRG Root X1 (5) -> R3 (3) -> youside.com (4)

(1) 该证书已于2021年9月30日过期。但是由于Andriod不对根证书的过期时间检查，所以 Android 仍然信任该证书。该证书签发了到期时间是2024年的 ISRG Root X1 (2) 中间证书。
(2) “ISRG Root X1” 中间证书。这两个证书链有两个同名的证书。"(2)" 是由DST Root CA X3 (1)
(3) “R3” 中间证书。同时被中间证书 ISRG Root X1 (2) 和根证书 ISRG Root X1 (5) 签发。
(5) “ISRG Root X1” 根证书。这个证书是 ISRG （Internet Security Research Group）自己的证书。如今已被大部分现代信任。部分设备（例如 Android <7.1.1）则依赖证书链1 才能被信任。

出了什么问题：

目前默认情况下使用的是 证书链1 。大部分设备工作良好。包括 Android <7.1.1 。但是部分依赖旧版 openssl (< 1.0.2g) 的程序会由于DST Root CA X3 证书过期无法信任站点。例如 git， apt-get 。

解决方式：

修改默认的chain

如果不需要支持旧版 Android，则可以修改证书链。

acme.sh 添加 --preferred-chain "ISRG"

/root/.acme.sh/acme.sh --issue --dns dns_ali --preferred-chain "ISRG" -d <domain>

certbot

certbot certonly  --dns-route53 -d <domain> --preferred-chain="ISRG Root X1"

如果证书未到期以致未重新签发，可以加上 --force参数。

然后更新证书。

同时兼容 旧版 openssl (< 1.0.2g) 和 Android <7.1.1

经过对比发现 证书链1 和 证书链2 的证书文件基本一致。唯一差别是多了一个 ISRG Root X1 (2) 证书。

证书链1 的证书文件

-----BEGIN CERTIFICATE-----
youside.com (4) 的内容
-----END CERTIFICATE-----