

8. nginx免费https证书配置

免费生成https证书¶

Let’s Encrypt 及 Certbot 简介¶

Let’s Encrypt 是一个叫 ISRG （ Internet Security Research Group ，互联网安全研究小组）的组织推出的免费安全证书计划。参与这个计划的组织和公司可以说是互联网顶顶重要的先驱，除了前文提到的三个牛气哄哄的发起单位外，后来又有思科（全球网络设备制造商执牛耳者）、 Akamai 加入，甚至连 Linux 基金会也加入了合作，这些大牌组织的加入保证了这个项目的可信度和可持续性。

Nginx 通过 certbot 为网站自动配置 SSL 证书并续期

后来 ISRG 的发起者 EFF （电子前哨基金会）为 Let’s Encrypt 项目发布了一个官方的客户端 Certbot ，利用它可以完全自动化的获取、部署和更新安全证书。这真是非常容易、方便呀，所以我们就可以直接使用官方客户端，不需要再使用第三方的工具了。虽然第三方工具也可以使用，但是官方工具更权威，风险也更小，而且遇到问题也更容易解决，毕竟有官方的支持。何况 Certbot 确实非常方便，也比所有的第三方工具都更方便，何乐而不用呢?

安装 certbot¶

登录官方网站有详细的安装步骤,我这里以centos6 nginx配置证书为例说明

1 SSH into the server
2 SSH into the server
wget https://dl.eff.org/certbot-auto
sudo mv certbot-auto /usr/local/bin/certbot-auto
sudo chown root /usr/local/bin/certbot-auto
sudo chmod 0755 /usr/local/bin/certbot-auto
3 sudo /usr/local/bin/certbot-auto --nginx --nginx-server-root=/usr/local/nginx/conf -d www.xx.com
4 手动配置,刚才上边是自动配置
sudo /usr/local/bin/certbot-auto certonly --nginx
5 由于有90天有效期所以需要加入计划任务
echo "0 0,12 * * * root python -c 'import random; import time; time.sleep(random.random() * 3600)' && /usr/local/bin/certbot-auto renew -q" | sudo tee -a /etc/crontab > /dev/null
6 验证