准备

通过 sudo nginx -V 发现 debian apt 安装的 nginx 已经有 ssl 模块，可以支持 https。

开放 443 端口

sudo ufw allow 443

letsencrypt 提供免费 3 个月期证书https://letsencrypt.org/zh-cn/getting-started/

获取安装证书

使用 Certbot ACME 客户端既可以为你获取证书，也可以帮助你安装证书（如果您需要的话）。在 https://certbot.eff.org/instructions 上选择自己的 web 服务器和系统，可以看到适合自己的安装方法

sudo apt install certbot python-certbot-nginx

然后

sudo certbot --nginx
或
sudo certbot certonly --nginx

这里要输入一些信息。。

然后 certbot 将通过 cron 任务或 systemd 定时器自动更新证书。

泛域名

不幸的是这是单域名的搞法，泛域名不能这样搞。

由于 certbot 不支持阿里云的域名接口，需要手工配置证书。这里有 http 和 dns 两种选择。

http challenge 挑战将要求你在 web 服务器顶级目录(“web根目录”)中的 /.well-known/acme-challenge/ 中放置具有特定名称和特定内容的文件。本质上它和 webroot 插件是一样的，但不是自动的。

sudo certbot certonly --manual --preferred-challenges http -d *.pran.top

在使用 dns challenge 时，certbot 将要求你将包含特定内容的 TXT dns 记录放在域名下，该域名由你希望颁发证书的主机名组成，前缀为 _acme-challenge。

sudo certbot certonly --manual --preferred-challenges dns -d *.pran.top

因为前者比较麻烦，选择后者。。

需要添加 TXT 域名记录 _acme-challenge.pran.top，值为 Lf7G0NGzGu77ij417Jwdj9iI82CCvjozcde_LLk-TFY 。验证下

dig -t txt _acme-challenge.pran.top @8.8.8.8

然后回来，确定。成功后，证书保存在
/etc/letsencrypt/live/pran.top/fullchain.pem/etc/letsencrypt/live/pran.top/

通过

sudo certbot renew

即可更新

nginx配置

nginx 配置可以通过

sudo certbot --nginx

来自动生成，然后再改。。这里又生成的证书可以通过

sudo certbot delete

来删除。。

这是全部通过 https 的配置，以后可以参考这个进行手工配置了

server {
  server_name www.pran.top;

  location / {
    proxy_pass http://127.0.0.1:8000/;
  }

  listen 443 ssl; # managed by Certbot
  ssl_certificate /etc/letsencrypt/live/pran.top/fullchain.pem; # managed by Certbot
  ssl_certificate_key /etc/letsencrypt/live/pran.top/privkey.pem; # managed by Certbot
  include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
  ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
}

server {
  if ($host = www.pran.top) {
    return 301 https://$host$request_uri;
  } # managed by Certbot

  listen 80;
  server_name www.pran.top;
  return 404; # managed by Certbot
}

sudo nginx -t 查看配置文件位置
sudo nginx -s reload

证书定时更新

Let’s Encrypt 的证书使用期限只有三个月，在证书到期前的一个月可以使用 certbot 来更新。Linux 的定时任务有两种方法：cron 和 systemd/timers，任何一种都能实现定时的更新任务，Certbot 两种都设置了。

sudo vi /etc/cron.d/certbot

可以看到 Certbot 设定的任务记录

0 */12 * * * root test -x /usr/bin/certbot -a ! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew

由于我们选择 timers 来自动更新，所以把 cron 任务注释掉：

0 */12 * * * root test -x /usr/bin/certbot -a ! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew

Certbot 在 /lib/systemd/system/ 下生成了两个文件：certbot.service 和 certbot.timer，一个是服务，一个是定时器。

certbot.service:

[Unit]
Description=Certbot
Documentation=file:///usr/share/doc/python-certbot-doc/html/index.html
Documentation=https://letsencrypt.readthedocs.io/en/latest/
[Service]
Type=oneshotExecStart=/usr/bin/certbot -q renew
PrivateTmp=true

可以看到也是运行 certbot -q renew 命令。

certbot.timer:

[Unit]
Description=Run certbot twice daily
[Timer]
OnCalendar=--* 00,12:00:00
RandomizedDelaySec=43200
Persistent=true
[Install]
WantedBy=timers.target

每天 0 点和 12 点激活 certbot.service。其实不需要这么频繁的更新证书，而且在更新证书的时候我们加了钩子来关闭和开启 Nginx 服务，所以最好是在凌晨没人访问网站的时候更新证书，我们稍微修改一下：

[Unit]
Description=Run certbot every 05:00
[Timer]
OnCalendar=--* 05:00:00
Persistent=true
[Install]
WantedBy=timers.target

每天凌晨 5 点更新一次证书。因为只有过期前 30 天才会申请更新，所以前 60 天这个任务什么都没干。

保存修改以后需要重启定时器：

sudo systemctl daemon-reload
sudo systemctl restart certbot.timer

貌似没什么用，还是不能自动更新。脚本有问题