使用Certbot在CentOS上更新和续签Nginx SSL证书

2024 年 12 月 15 日

134 次浏览

1082字数

[Let's encrypt 官网]([https://](https://certbot.eff.org/))并未提供 CentOS 的傻瓜式安装步骤，这里我们主要参考[这一篇](https://qizhanming.com/blog/2019/04/23/how-to-install-let-s-encrypt-wildcards-certificate-on-centos-7)

安装之后使用这样的命令生成证书给 Nginx 使用：

```bash
sudo certbot certonly -d yourdomain.com -d *.yourdomain.com --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory
```

中间每一步按提示操作即可。会需要为 DNS 配置 TXT 记录。

成功以后 Certbot 会提示证书的生成目录，查看一下：

```shell
[root@xxx nginx]# tree xxx/zclll.com/
xxx/zclll.com/
├── cert.pem -> xxx
├── chain.pem -> xxx
├── fullchain.pem -> xxx
├── privkey.pem -> xxx
└── README
```

其中 `cert.pem` 为公钥，`chain.pem` 为中间链证书，`fullchain.pem` 为二者组合。`privkey.pem` 为私钥证书。因此在 Nginx 的配置文件 `nginx.conf` 中，为对应 server 做如下配置即可：

* `ssl_certificate` = `fullchain.pem`
* `ssl_certificate_key` = `privkey.pem`

然后重启服务即可正常运行。

## 续签证书

通过 `--manual` 方式生成的证书是无法通过 `certbot renew` 自动更新的（因为中间需要手动完成一些操作，就像我们刚完成过的一样），除非通过 `--manual-auth-hook` 提供一个交互式的脚本。简单起见我们可以选择通过

```shell
certbot certonly --standalone
```

命令手动更新。选择 renew 即可。