部署Let‘s Encrypt免费SSL证书教程

步骤 1：安装Certbot工具

# 在CentOS系统中运行如下命令安装Certbot工具
yum install -y epel-release
yum install -y certbot

步骤 2：配置Nginx服务器

确保Nginx服务器已正确配置并且域名已指向服务器的公网IP地址。

步骤 3：生成SSL证书

# 运行以下命令生成SSL证书
命令：certbot certonly --webroot -w [Web站点目录] -d [站点域名] -m [联系人email地址] --agree-tos

例子：certbot certonly --webroot -w /usr/local/nginx/html/cyanhui -d demo.hangge.com -m service@hangge.com --agree-tos

# 注意：申请成功后，证书会保存在 /etc/letsencrypt/live/demo.hangge.com/ 下面

步骤 4：配置Nginx以使用SSL证书

# 首先执行如下命令生成 Perfect Forward Security（PFS）键值
mkdir /etc/ssl/private/ -p
cd /etc/ssl/private/
openssl dhparam 2048 -out dhparam.pem

# 打开Nginx的配置文件，通常位于/etc/nginx/nginx.conf或/etc/nginx/conf.d/xxx.conf，并添加以下配置
# 确保将 demo.hangge.com 替换为您的域名
server {
    listen 80;
    server_name demo.hangge.com;
    rewrite  ^/(.*)$  https://demo.hangge.com/$1 permanent;
}
server {
    listen 443 ssl;
    server_name demo.hangge.com;
    ssl_certificate      /etc/letsencrypt/live/demo.hangge.com/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/demo.hangge.com/privkey.pem;
 
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
 
    ssl_dhparam /etc/ssl/private/dhparam.pem;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
 
    ssl_ciphers  'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128:AES256:AES:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK';
    ssl_prefer_server_ciphers  on;
     location / {
		root   html;
        index  index.html index.htm;
   }
}

步骤 5：重新加载Nginx配置

# 运行以下命令重新加载Nginx配置，使其生效
nginx -s reload

步骤 6：自动续期证书

(1) 自动续期证书所用到的命令如下：

// 更新证书
certbot renew --dry-run
// 如果不需要返回的信息，可以用静默方式
certbot renew --quiet

(2) Let’s Encrypt证书的有效期为90天。为了自动续期证书，您可以设置一个定时任务来运行Certbot命令，例如

# 创建定时任务
crontab -e

# 编写定时任务内容
00 05 01 * * /usr/bin/certbot renew --quiet && /bin/systemctl restart nginx

# 查看定时任务
crontab -l

您就完成了在CentOS上自动申请和部署Let’s Encrypt免费SSL证书的教程。您的网站现在应该通过安全的HTTPS连接进行访问了。

文章内容来自：https://blog.csdn.net/qq_27575627/article/details/130924611