owlnas

前言

acme.sh 实现了 acme 协议, 可以从 letsencrypt 生成免费的证书。本文以 owlnas.cc 为例，配置 https。

配置过程

主要步骤:

安装 acme.sh
生成证书
copy 证书到 nginx/apache 或者其他服务

1.安装 acme.sh

# 安装 ACME 脚本
curl  https://get.acme.sh | sh

# 设置acme.sh别名，方便后续使用
alias acme.sh=~/.acme.sh/acme.sh

# 设置 acme 自动更新
acme.sh --upgrade --auto-upgrade

# 切换ca 为Letsencrypt
acme.sh --set-default-ca --server letsencrypt

或国内用户可以从 gitee 上下载安装

git clone https://gitee.com/neilpang/acme.sh.git
cd acme.sh

# 这样会在 /root/.acme.sh/ 目录下安装
./acme.sh --upgrade --auto-upgrade

# 设置acme.sh别名，方便后续使用
alias acme.sh=~/.acme.sh/acme.sh

# 切换ca 为Letsencrypt
acme.sh --set-default-ca --server letsencrypt

2. 生成证书及验证

acme.sh 实现了 acme 协议支持的所有验证协议. 一般有两种方式验证: http 和 dns 验证.

http 验证只需要指定域名, 并指定域名所在的网站根目录. acme. sh 会全自动的生成验证文件, 并放到网站的根目录, 然后自动完成验证. 最后会聪明的删除验证文件. 整个过程没有任何副作用。

# 下面方式任选一种可以实现的

# http 方式需要在你的网站根目录下放置一个文件, 来验证你的域名所有权,完成验证. 
acme.sh --issue -d redblack.fun -d www.owlnas.cc  --webroot  /home/wwwroot/owlnas.cc/

# 如果你用的 apache服务器, acme.sh 还可以智能的从 apache的配置中自动完成验证
acme.sh --issue -d owlnas.cc --apache

# 如果你用的 nginx服务器,acme.sh 还可以智能的从 nginx的配置中自动完成验证
acme.sh --issue -d owlnas.cc --nginx

# 有的时候找不到 Nginx 的 conf 地址，可自定义地址
acme.sh --issue -d owlnas.cc -d --nginx /root/sites/nginx/conf.d/owlnas.cc.conf

acme.sh --issue -d analytics.owlnas.cc -d --nginx /root/sites/nginx/conf.d/analytics.owlnas.cc.conf

# 如果你还没有运行任何 web 服务, **80** 端口是空闲的, 那么 **acme.sh** 还能假装自己是一个webserver, 临时听在**80** 端口, 完成验证:
acme.sh  --issue -d owlnas.cc --standalone

注意, 无论是 apache 还是 nginx 模式, acme.sh 在完成验证之后, 会恢复到之前的状态, 都不会私自更改你本身的配置. 好处是你不用担心配置被搞坏, 也有一个缺点, 你需要自己配置 ssl 的配置, 否则只能成功生成证书, 你的网站还是无法访问 https. 但是为了安全, 你还是自己手动改配置吧.

dns 方式, 在域名上添加一条 txt 解析记录, 验证域名所有权.

这种方式的好处是, 你不需要任何服务器, 不需要任何公网 ip, 只需要 dns 的解析记录即可完成验证. 坏处是，如果不同时配置 Automatic DNS API，使用这种方式 acme.sh 将无法自动更新证书，每次都需要手动再次重新解析验证域名所有权。

acme.sh  --issue  --dns -d owlnas.cc -d '*.owlnas.cc'

然后, acme.sh 会生成相应的解析记录显示出来, 你只需要在你的域名管理面板中添加这条 txt 记录即可.

等待解析完成之后, 重新生成证书:

acme.sh  --renew  -d owlnas.cc

dns 方式的真正强大之处在于可以使用域名解析商提供的 api 自动添加 txt 记录完成验证。acme.sh 目前支持 cloudflare, dnspod, cloudxns, godaddy 以及 ovh 等数十种解析商的自动集成。以 dnspod 为例, 你需要先登录到 dnspod 账号, 生成你的 api id 和 api key, 都是免费的。

export DP_Id="1234"

export DP_Key="sADDsdasdgdsf"

acme.sh --issue --dns dns_dp -d aa.com  -d www.aa.com

证书就会自动生成了. 这里给出的 api id 和 api key 会被自动记录下来, 将来你在使用 dnspod api 的时候, 就不需要再次指定了. 直接生成就好了:

acme.sh  --issue   -d  owlnas.cc   --dns  dns_dp

3. copy/安装证书

前面证书生成以后，接下来需要把证书 copy 到真正需要用它的地方。

注意, 默认生成的证书都放在安装目录下: /root/.acme.sh/, 请不要直接使用此目录下的文件, 例如: 不要直接让 nginx/apache 的配置文件使用这下面的文件. 这里面的文件都是内部使用, 而且目录结构可能会变化。需要使用 --installcert 命令，并指定目标位置，然后证书文件会被 copy 到相应的位置。

acme.sh --installcert -d owlnas.cc -d *.owlnas.cc  \
        --key-file /root/ssl/owlnas.cc.key\
        --fullchain-file /root/ssl/fullchain.cer \
        --reloadcmd  "systemctl force-reload nginx"

nginx 的配置 ssl_certificate 使用 /root/ssl/fullchain.cer ，而非 /root/ssl/<domain>.cer ，否则 SSL Labs 的测试会报 Chain issues Incomplete 错误。

参考资料

https://github.com/Neilpang/acme.sh/wiki

前言

配置过程

1.安装 acme.sh

2. 生成证书及验证

3. copy/安装 证书

参考资料

3. copy/安装证书