nginx 設定 ssl ＋自動續約 Let’s Encrypt 免費域名證書

Tue, 23 Aug 2022 00:00:00 +0000

參考文章

版本一

步驟 1 - 下載安裝及執行的腳本

1
2
3


wget https://dl.eff.org/certbot-auto --no-check-certificate
chmod +x ./certbot-auto
./certbot-auto -n

生成證書，只需要輸入郵件地址和網站根目錄，提示以下內容，說明安裝完成

1
2
3


Saving debug log to /var/log/letsencrypt/letsencrypt.log

Missing command line flags. For non-interactive execution, you will need to specify a plugin on the command line. Run with '--help plugins' to see a list of options, and see https://eff.org/letsencrypt-plugins for more detail on what the plugins do and how to use them.

步驟 2 - nginx設定隱藏目錄訪問

1
2
3


location ~ /.well-known {
 allow all;
}

步驟 3 - 生成域名證書

1

./certbot-auto certonly --email tony@hack.idv.tw --agree-tos --no-eff-email --webroot -w /var/www/ -d hack.idv.tw

到目錄內查看

1

cd /etc/letsencrypt/live/

萬用字元的申請指令 (需要驗證dns)

1

certbot-auto certonly -d *.manpc.tk --manual --preferred-challenges dns

步驟 4 - 設定nginx

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


server {
 listen 80; # IPv4
 listen [::]:80;
 server_name hack.idv.tw ;
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 #rewrite ^(.*) https://$host$1 permanent;
 return 301 https://www.itnotetk.com$request_uri; #跳轉到Https
}

server {
 listen 443 ssl http2;
 server_name hack.idv.tw ;
 ssl on;
 ssl_certificate /etc/letsencrypt/live/hack.idv.tw/fullchain.pem;
 ssl_certificate_key /etc/letsencrypt/live/hack.idv.tw/privkey.pem;
 client_max_body_size 256m;
 ssl_dhparam /etc/nginx/certs/dhparam.pem;
 ssl_session_cache shared:SSL:10m;
 ssl_session_timeout 10m;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
 ssl_stapling on;
 ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA";
 ssl_prefer_server_ciphers on;
 #add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";
 add_header Strict-Transport-Security "max-age=31536000; includeSubDomains;preload" always;
 # ...

Let’s Encrypt憑證只有90天需要手動續約

1

0 1 * * * /root/certbot-auto renew --disable-hook-validation --renew-hook "/etc/init.d/nginx reload"

版本二

網路出處

Let’s Encrypt 是一家新的證書頒發機構（Certificate Authority，簡稱 CA），其提供免費的 TLS/SSL 憑證再配合 Certbot 這個自動化工具，讓一般的網站可以很容易地使用 HTTPS 的安全加密網頁，設定很簡單，憑證的更新也可以自動處理。
以下我以 Ubuntu Linux 14.04 的系統為例，示範 nginx 伺服器使用 Let’s Encrypt 憑證設定 HTTPS 安全加密網頁的方法。

步驟 1 - 從 `Certbot` 官方網站下載 `certbot-auto` 指令稿，並設定其執行權限

1
2


wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto

`certbot-auto` 要放在哪裡都可以，建議一開始就找一個適合的地方放好，例如建立一個 `/opt/letsencrypt` 目錄，把 `certbot-auto` 放在這裡

1
2


mkdir /opt/letsencrypt
mv certbot-auto /opt/letsencrypt/

步驟 2 - 執行 `certbot-auto` ，讓它自動安裝所有相依套件

1

/opt/letsencrypt/certbot-auto

執行 `certbot-auto` 時，會需要輸入密碼取得 root 權限

步驟 3：

安裝完成所有需要的系統套件後，接著我們要透過 webroot 的方式，使用既有的 nginx 網頁伺服器來向 Let’s Encrypt 取得憑證，而在認證的過程會需要在網頁根目錄中建立一個 .well-known/acme-challenge/ 目錄，讓 Let’s Encrypt 的伺服器來讀取其中的內容。
一般的 nginx 伺服器通常會設定把句點開頭的隱藏檔案都擋掉，遇到這樣的狀況就會無法進行認證，這時候可以再加一小段設定，讓 .well-known/acme-challenge/ 目錄可以被正常讀取。

1
2
3
4
5
6


location ^~ /.well-known/acme-challenge/ {
# the usual settings
}
location ~ /\. {
deny all;
}

步驟 4 - 使用 `certonly` 功能下載憑證

1

/opt/letsencrypt/certbot-auto certonly --webroot -w /var/www/blog.gtwang.org/ -d blog.gtwang.org -d gtwang.org

步驟 5 - 輸入自己的 Email 信箱

步驟 6 - 閱讀使用條款，選擇「Agree」繼續

步驟 7 - 下載完成後，會出現類似這樣的成功訊息

1
2
3
4
5
6
7
8


IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/blog.gtwang.org/fullchain.pem. Your cert will
expire on 2016-08-13. To obtain a new version of the certificate in
the future, simply run Certbot again.
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le

這樣就成功取得 Let’s Encrypt 的憑證了，而 nginx 用的憑證就儲存在 /etc/letsencrypt/live/blog.gtwang.org/ 目錄之下，其中 fullchain.pem 就是 nginx 需要憑證，而 privkey.pem 則是需要保護好的私鑰，關於憑證檔案的詳細說明，請參考 Certbot 的說明文件。
Certbot 還有提供另外一個 standalone 的方式來向 Let’s Encrypt 取得憑證，這種方式是由 Certbot 建立一個獨立的網頁伺服器，提供 Let’s Encrypt 讀取驗證用的資料，不過這樣的做法需要綁定 80 或 443 連接埠，所以通常還會需要暫停既有的網頁伺服器，對於一般的網站而言，會造成網站有幾秒鐘的斷線現象，所以我個人不喜歡這樣的方式。
接下來要設定 nginx 伺服器，使用這個新憑證來提供 HTTPS 的安全加密網頁。

步驟 8 - 要讓 `nginx` 啟用 `HTTPS` 安全加密網頁，只要加上 `SSL` 相關的幾行設定即可，其餘的設定保持不變，以下是我個人使用的 `nginx` 伺服器設定

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26


server {
 # 傾聽 HTTPS 標準埠號 443
 listen 443;

 # 同時啟用 IPv6 的 HTTPS 安全加密網頁
 listen [::]:443;

 server_name blog.gtwang.org;
 root /var/www/blog.gtwang.org/;
 index index.php index.html index.htm;

 # 啟用 SSL
 ssl on;

 # 設定 SSL 憑證
 ssl_certificate /etc/letsencrypt/live/blog.gtwang.org/fullchain.pem;
 ssl_certificate_key /etc/letsencrypt/live/blog.gtwang.org/privkey.pem;

 # 其他 SSL 選項
 ssl_session_timeout 5m;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # omit SSLv3 because of POODLE (CVE-2014-3566)
 ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
 ssl_prefer_server_ciphers on;

 # ...
}

`ssl_protocols` 的部分記得要把SSLv3拿掉，避免 `POODLE` 攻擊（CVE-2014-3566）。

步驟 9 - 設定好之後，檢查一下設定檔是否正確

1

service nginx configtest

步驟 10 - 確認無誤之後，重新載入設定檔

1

service nginx reload

這樣就完成 nginx 伺服器的設定了，接著就可以開啟 HTTPS 加密的網址來測試了，正常來說，使用 Google Chrome 瀏覽器開啟自己主機的 HTTPS 加密網址，應該就會顯示一個綠色的鎖頭，這樣就代表我們安裝的 SSL 憑證是有效的。

`Let’s Encrypt` 的憑證使用期限只有三個月，在憑證到期前的一個月可以使用 `certbot-auto` 來更新憑證，在實際更新之前我們可以加入 `--dry-run` 參數，先進行測試。

1

/opt/letsencrypt/certbot-auto renew --dry-run

若測試沒問題，就可以使用正式指令來更新

1

/opt/letsencrypt/certbot-auto renew --quiet --no-self-upgrade

而為了方便起見，可以將這個更新指令寫在 /opt/letsencrypt/renew.sh 指令稿中

1
2


#!/bin/sh
/opt/letsencrypt/certbot-auto renew --quiet --no-self-upgrade --post-hook "service nginx reload"

這裡我又加上一個 --post-hook 的設定，讓憑證更新完後，可以自動重新載入 nginx 伺服器的設定，讓憑證生效。
接著把這個 /opt/letsencrypt/renew.sh 指令稿寫進 crontab 中

1
2


# m h dom mon dow command
30 2 * * 0 /opt/letsencrypt/renew.sh

Free on Wayne's blog | 偉恩的部落格 | 技術博客

nginx 設定 ssl ＋ 自動續約 Let’s Encrypt 免費域名證書

參考文章

版本一

步驟 1 - 下載安裝及執行的腳本

生成證書，只需要輸入郵件地址和網站根目錄，提示以下內容，說明安裝完成

步驟 2 - nginx設定隱藏目錄訪問

步驟 3 - 生成域名證書

到目錄內查看

萬用字元的申請指令 (需要驗證dns)

步驟 4 - 設定nginx

Let’s Encrypt憑證只有90天 需要手動續約

版本二

步驟 1 - 從 Certbot 官方網站下載 certbot-auto 指令稿，並設定其執行權限

certbot-auto 要放在哪裡都可以，建議一開始就找一個適合的地方放好，例如建立一個 /opt/letsencrypt 目錄，把 certbot-auto 放在這裡

步驟 2 - 執行 certbot-auto ，讓它自動安裝所有相依套件

執行 certbot-auto 時，會需要輸入密碼取得 root 權限

步驟 3：

步驟 4 - 使用 certonly 功能下載憑證

步驟 5 - 輸入自己的 Email 信箱

步驟 6 - 閱讀使用條款，選擇「Agree」繼續

步驟 7 - 下載完成後，會出現類似這樣的成功訊息

步驟 8 - 要讓 nginx 啟用 HTTPS 安全加密網頁，只要加上 SSL 相關的幾行設定即可，其餘的設定保持不變，以下是我個人使用的 nginx 伺服器設定

ssl_protocols 的部分記得要 把SSLv3拿掉 ，避免 POODLE 攻擊（CVE-2014-3566）。

步驟 9 - 設定好之後，檢查一下設定檔是否正確

步驟 10 - 確認無誤之後，重新載入設定檔

Let’s Encrypt 的憑證使用期限只有三個月，在憑證到期前的一個月可以使用 certbot-auto 來更新憑證，在實際更新之前我們可以加入 --dry-run 參數，先進行測試。

nginx 設定 ssl ＋自動續約 Let’s Encrypt 免費域名證書

Let’s Encrypt憑證只有90天需要手動續約

步驟 1 - 從 `Certbot` 官方網站下載 `certbot-auto` 指令稿，並設定其執行權限

`certbot-auto` 要放在哪裡都可以，建議一開始就找一個適合的地方放好，例如建立一個 `/opt/letsencrypt` 目錄，把 `certbot-auto` 放在這裡

步驟 2 - 執行 `certbot-auto` ，讓它自動安裝所有相依套件

執行 `certbot-auto` 時，會需要輸入密碼取得 root 權限

步驟 4 - 使用 `certonly` 功能下載憑證

步驟 8 - 要讓 `nginx` 啟用 `HTTPS` 安全加密網頁，只要加上 `SSL` 相關的幾行設定即可，其餘的設定保持不變，以下是我個人使用的 `nginx` 伺服器設定

`ssl_protocols` 的部分記得要把SSLv3拿掉，避免 `POODLE` 攻擊（CVE-2014-3566）。

`Let’s Encrypt` 的憑證使用期限只有三個月，在憑證到期前的一個月可以使用 `certbot-auto` 來更新憑證，在實際更新之前我們可以加入 `--dry-run` 參數，先進行測試。