Let's Encrypt折腾记录

久闻 Let’s Encrypt 的大名，一直没抽出空来折腾一下。刚好昨天看到下面这篇文章，晚上就折腾了一下。以下内容全部遵循这篇文章Let's Encrypt，免费好用的 HTTPS 证书的教程，在有些我自己遇到的坑的地方，做了一些修改和提醒。

创建帐号

首先创建一个目录，例如 /home/xxx/ssl，用来存放各种临时文件和最后的证书文件。进入这个目录，创建一个 RSA 私钥用于 Let’s Encrypt 识别你的身份：

openssl genrsa 4096 > account.key

创建 CSR 文件

接着就可以生成 CSR（Certificate Signing Request，证书签名请求）文件了。在之前的目录中，再创建一个域名私钥（一定不要使用上面的账户私钥）：

openssl genrsa 4096 > domain.key

PS：这里是创建了 4096 位的证书，为了一定的兼容性，我创建的是 2048 位的证书。

生成 CSR 时推荐至少把域名带 www 和不带 www 的两种情况都加进去，其它子域可以根据需要添加（目前一张证书最多可以包含 100 个域名）：

1	openssl req -new -sha256 -key domain.key -subj "/" -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:yoursite.com,DNS:www.yoursite.com")) > domain.csr

执行这一步时，如果提示找不到 /etc/ssl/openssl.cnf 文件，应该是没有安装 openssl 库。

配置验证服务

我们知道，CA 在签发 DV（Domain Validation）证书时，需要验证域名所有权。传统 CA 的验证方式一般是往 [email protected] 发验证邮件，而 Let’s Encrypt 是在你的服务器上生成一个随机验证文件，再通过创建 CSR 时指定的域名访问，如果可以访问则表明你对这个域名有控制权。

首先创建用于存放验证文件的目录，例如：

mkdir /home/xxx/www/challenges/

PS：这里一定要开辟另外的一个目录，千万不要和上面的 ssl 的目录放在一起。因为这个目录下的文件会开发的互联网给别人访问的，如果也放在 ssl 目录下，你的一些私钥会被人扫描到的。

然后配置一个 HTTP 服务，以 Nginx 为例：

server {
    server_name www.yoursite.com yoursite.com;

    location /.well-known/acme-challenge/ {
        alias /home/xxx/www/challenges/;
    }
}

这个验证服务以后更新证书还要用到，需要一直保留。

获取网站证书

先把 acme-tiny 脚本保存到之前的 ssl 目录：

wget https://raw.githubusercontent.com/diafygi/acme-tiny/master/acme_tiny.py

指定账户私钥、CSR 以及验证目录，执行脚本：

1	python acme_tiny.py --account-key ./account.key --csr ./domain.csr --acme-dir /home/xxx/www/challenges/ > ./signed.crt

如果一切正常，当前目录下就会生成一个 signed.crt，这就是申请好的证书文件。
如果你把域名 DNS 解析放在国内，这一步很可能会遇到类似这样的错误：

ValueError: Wrote file to /home/xxx/www/challenges/oJbvpIhkwkBGBAQUklWJXyC8VbWAdQqlgpwUJkgC1Vg, but couldn't download http://www.yoursite.com/.well-known/acme-challenge/oJbvpIhkwkBGBAQUklWJXyC8VbWAdQqlgpwUJkgC1Vg

这是因为你的域名很可能在国外无法访问，可以找台国外 VPS 验证下。我的域名最近从 DNSPod 换到了阿里云解析，最后又换到了 CloudXNS，就是因为最近前两家在国外都很不稳定。如果你也遇到了类似情况，可以暂时使用国外的 DNS 解析服务商。

搞定网站证书后，还要下载 Let’s Encrypt 的中间证书。我在之前的文章中讲过，配置 HTTPS 证书时既不要漏掉中间证书，也不要包含根证书。在 Nginx 配置中，需要把中间证书和网站书合在一起：

1 2	wget -O - https://letsencrypt.org/certs/lets-encrypt-x1-cross-signed.pem > intermediate.pem cat signed.crt intermediate.pem > chained.pem

最终，修改 Nginx 中有关证书的配置并 reload 服务即可：

1 2	ssl_certificate /home/xxx/ssl/chained.pem; ssl_certificate_key /home/xxx/ssl/domain.key;

ERR_SPDY_INADEQUATE_TRANSPORT_SECURITY

到了这一步，nginx 重新 reload 应该可以来着，但是我用浏览器访问的时候遇到了这样的错误。可能和我使用了 1.9.7 版本的 Nginx 有关。

解决方案是需要加上 ssl_prefer_server_ciphers 和 ssl_ciphers 这样的东西。ssl_ciphers 有各种各样的版本，复杂的、简单的，复杂的一般都是为了保持尽可能多的兼容性的情况下的安全性。我使用的是 Mozilla SSL Configuration Generator 中的 Intermediate 的配置。也有诸如 CloudFlare 的简单配置。

隐去一些自己的信息的 Nginx 配置如下。开启 http2 需要较新版的 Nginx 1.9.x 才行。

server {
        listen 443 http2;
        ssl on;

        server_name youdomain.com www.yourdomain.com;
        ssl_certificate     /home/xxx/ssl/chained.pem;
        ssl_certificate_key /home/xxx/ssl/domain.key;

        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:ECDHE-RSA-DES-CBC3-SHA:ECDHE-ECDSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
        ssl_prefer_server_ciphers   on;
        add_header Strict-Transport-Security max-age=2592000;  # HSTS 特性自选

        location /.well-known/acme-challenge/ {
                alias /home/xxx/www/challenges/;
        }
}

server {
        listen 80;
        server_name yourdomain.com www.yourdomain.com;
        return 301 https://yourdomain.com$request_uri;
}

配置自动更新

Let’s Encrypt 签发的证书只有 90 天有效期，但可以通过脚本定期更新。例如我创建了一个 renew_cert.sh，内容如下：

#!/bin/bash

cd /home/xxx/ssl/
python acme_tiny.py --account-key account.key --csr domain.csr --acme-dir /home/xxx/www/challenges/ > signed.crt || exit
wget -O - https://letsencrypt.org/certs/lets-encrypt-x1-cross-signed.pem > intermediate.pem
cat signed.crt intermediate.pem > chained.pem
service nginx reload

这个脚本需要以 root 帐号运行，使用绝对路径比较保险。最后，修改 root 帐号的 crontab 配置，加入以下内容：

1	0 0 1 * * /home/xxx/root_shell/renew_cert.sh >/dev/null 2>&1

这样以后证书每个月都会自动更新，一劳永逸。

文章目录