nginx https配置——Let's Encrypt 部署和维护

let’s encrypt

Let's Encrypt 的最大贡献是它的 ACME 协议,第一份全自动服务器身份验证协议,以及配套的基础设施和客户端。这是为了解决一直以来 HTTPS TLS X.509 PKI 信任模型,即证书权威(Certificate Authority, CA)模型缺陷的一个起步。

在客户端-服务器数据传输中,公私钥加密使得公钥可以明文传输而依然保密数据,但公钥本身是否属于服务器,或公钥与服务器是否同属一个身份,是无法简单验证的。证书权威模型通过引入事先信任的第三方,由第三方去验证这一点,并通过在服务器公钥上签名的方式来认证服务器。第三方的公钥则在事先就约定并离线准备好,以备访问时验证签名之用。这个第三方就称为证书权威,简称CA。相应的,CA验证过的公钥被称为证书。

问题是,如果服务器私钥泄露,CA无法离线使对应的证书无效化,只能另外发布无效记录供客户端查询。也就是说,在私钥泄露到CA发布无效记录的窗口内,中间人可以肆意监控服-客之间的传输。如果中间人设法屏蔽了客户端对无效记录的访问,那么直到证书过期,中间人都可以进行监控。而由于当前CA验证和签发证书大多手动,证书有效期往往在一年到三年。

   Let's Encrypt 签发的证书有效期只有90天,甚至希望缩短到60天。有效期越短,泄密后可供监控的窗口就越短。为了支撑这么短的有效期,就必须自动化验证和签发。因为自动化了,长远而言,维护反而比手动申请再安装要简单。 

自动签发实现

下载脚本到本地:

wget https://raw.githubusercontent.com/xdtianyu/scripts/master/lets-encrypt/letsencrypt.conf
wget https://raw.githubusercontent.com/xdtianyu/scripts/master/lets-encrypt/letsencrypt.sh
chmod +x letsencrypt.sh

配置文件,需要指出其中的坑:

let's encrypt的签发过程中需要对域名进行鉴权,所以会向域名所指向的根目录写入鉴权文件,也就是在根目录新建目录“.well-known/acme-challenge/”向其中写入一个随机文件,再访问:<域名>/.well-known/acme-challenge/{随机文件}以验证域名所有权。

所以,letsencrypt.conf文件配置说明:

ACCOUNT_KEY="letsencrypt-account.key"//账户密钥,可以改成自定义的标示,当然也可以不改
DOMAIN_KEY="example.com.key"//域名私钥 
DOMAIN_DIR="/var/www/example.com"//域名鉴权目录
DOMAINS="DNS:example.com,DNS:whatever.example.com"//要申请证书的域名,可以一个,可以多个
#ECC=TRUE
#LIGHTTPD=TRUE 

其中“DOMAIN_DIR”设置最好是配置一个单独的路径去做这个鉴权的事情:

比如此处需要给sunallies.com申请https证书,那么

DOMAIN_DIR="/var/www/challenges/aishan100.com"//域名鉴权目录
然后nginx的sunallies.com的站点配置中要加个目录映射:

location /.well-known/acme-challenge/{
  alias /var/www/challenges/sunallies.com/.well-known/acme-challenge/;
  try_files $uri = 404;
}

然后重启nginx。
接着执行获取证书:
在letsencrypt.sh文件末尾加上

nginx -s reload

保存letsencrypt.sh,接着执行

./letsencrypt.sh letsencrypt.conf

将会生成如下几个文件

lets-encrypt-x1-cross-signed.pem
example.chained.crt          # 即网上搜索教程里常见的 fullchain.pem
example.com.key              # 即网上搜索教程里常见的 privkey.pem 
example.crt
example.csr

在 nginx 里添加 ssl 相关的配置

ssl_certificate     /path/to/cert/example.chained.crt;
ssl_certificate_key /path/to/cert/example.key;

cron 定时任务

每个月自动更新一次证书。

0 0 1 * * /etc/nginx/certs/letsencrypt.sh /etc/nginx/certs/letsencrypt.conf >> /var/log/lets-encrypt.log 2>&1

posted on 2018-05-30 11:28  Ryanyanglibin  阅读(418)  评论(0编辑  收藏  举报

导航