干货！acme-tiny Let's Encrypt证书自动脚本

skywing

https://github.com/diafygi/acme-tiny
试用了一下，比Let's Encrypt官方工具更好用
简单把步骤说下：
1 此脚本需要python和openssl支持，LINUX一般都自带，没有请自行安装 开始之前创建一个文件夹存放文件

1. mkdir ~/letsencrypt
   
2. cd ~/letsencrypt

复制代码

2 创建一个 Let's Encrypt账户私钥，以便让其识别你的身份

1. openssl genrsa 4096 > account.key

复制代码

如已用官方工具生成私钥，需要将其转换为acme-tiny支持的PEM格式

1. # 下载转换脚本
   
2. wget -O - "https://gist.githubusercontent.com/JonLundy/f25c99ee0770e19dc595/raw/6035c1c8938fae85810de6aad1ecf6e2db663e26/conv.py" > conv.py
   
3. # 复制私钥到工作目录
   
4. cp /etc/letsencrypt/accounts/acme-v01.api.letsencrypt.org/directory/<id>/private_key.json private_key.json
   
5. 
   
6. #创建DER私钥
   
7. openssl asn1parse -noout -out private_key.der -genconf <(python conv.py private_key.json)
   
8. 
   
9. # 转换到 PEM格式的私钥
   
10. openssl rsa -in private_key.der -inform der > account.key

复制代码

3 创建域名证书请求文件(CSR)

1. #创建域名私钥
   
2. openssl genrsa 4096 > domain.key
   
3. #单域名CSR用如下命令
   
4. openssl req -new -sha256 -key domain.key -subj "/CN=yoursite.com" > domain.csr
   
5. #多域名CSR用如下命令（一般都至少要为根域和WWW申请证书吧）
   
6. openssl req -new -sha256 -key domain.key -subj "/" -reqexts SAN -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:yoursite.com,DNS:www.yoursite.com")) > domain.csr

复制代码

4 配置验证域名所有权的服务

1. #创建验证目录，我用的是
   
2. mkdir -p /home/wwwroot/challenges/

复制代码

配置一个HTTP服务让LETSENCRYPT能下载验证文件

1. server {
   
2.     listen 80;
   
3.     server_name yoursite.com www.yoursite.com;
   
4. 
   
5.     location /.well-known/acme-challenge/ {
   
6.         alias /home/wwwroot/challenges/;
   
7.         try_files $uri =404;
   
8.     }
   
9. 
   
10.     ...the rest of your config
    
11. }

复制代码

5 获取签名证书

1. python acme_tiny.py --account-key ./account.key --csr ./domain.csr --acme-dir /home/wwwroot/challenges/ > ./signed.crt

复制代码

我在这一步遇到如下问题，

1. ValueError: Wrote file to /home/wwwroot/challenges/xxxxxxxxxxxxxxxxxxxxxxxxxxx, but couldn't download http://www.yoursite.com/.well-known/acme-challenge/xxxxxxxxxxxxxxxxxxxxxxxxxxx

复制代码

，是因为我DNS服务器是DNSPOD，letsencrypt无法解析域名造成的，最终把域名DNS服务器改到dns.he.net解决！

1. #用nginx还得合并中间证书
   
2. wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > intermediate.pem
   
3. cat signed.crt intermediate.pem > chained.pem

复制代码

6 安装证书 （以NGINX为例说明）

1. server {
   
2.     listen 443;
   
3.     server_name yoursite.com, www.yoursite.com;
   
4. 
   
5.     ssl on;
   
6.     ssl_certificate /path/to/chained.pem;
   
7.     ssl_certificate_key /path/to/domain.key;
   
8.     ssl_session_timeout 5m;
   
9.     ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
   
10.     ssl_ciphers ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA;
    
11.     ssl_session_cache shared:SSL:50m;
    
12.     ssl_dhparam /path/to/server.dhparam;
    
13.     ssl_prefer_server_ciphers on;
    
14. 
    
15.     ...the rest of your config
    
16. }
    
17. 
    
18. server {
    
19.     listen 80;
    
20.     server_name yoursite.com, www.yoursite.com;
    
21. 
    
22.     location /.well-known/acme-challenge/ {
    
23.         alias /var/www/challenges/;
    
24.         try_files $uri =404;
    
25.     }
    
26. 
    
27.     ...the rest of your config
    
28. }

复制代码

7 创建自动更新脚本（证书有效期三个月，一般一个月更新一次吧）

1. vi ~/letsencrypt/renew_cert.sh
   
2. #!/usr/bin/sh
   
3. python /path/to/acme_tiny.py --account-key /path/to/account.key --csr /path/to/domain.csr --acme-dir /var/www/challenges/ > /tmp/signed.crt || exit
   
4. wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > intermediate.pem
   
5. cat /tmp/signed.crt intermediate.pem > /path/to/chained.pem
   
6. service nginx reload
   
7. #赋予执行权限
   
8. chmod +x renew_cert.sh

复制代码

加入crontab

1. 0 0 1 * * ~/letsencrypt/renew_cert.sh 2>> /var/log/acme_tiny.log

复制代码

搞定收工

sgwyhwt

技术贴必须顶

醉里耍大刀

好像有点复杂，有一键的么？

月痕

自动脚本。。好麻烦     还以为是一件的

malong101

好复杂 看不懂 听说 openlitespeed 要出一键包，，，忽悠他们弄

evanvane

太复杂还不如用vpser的

skywing

醉里耍大刀 发表于 2016-4-25 09:17
好像有点复杂，有一键的么？

一键的创建验证域名所有权的HTTP服务和安装证书这两步不好弄，各人的环境都不一样

叶子990183485

Diss

在搬瓦工上测试成功吗？