簡介
本文是通過 Let's Encrypt 提供的免費證書服務，實現讓自己的網站加上 HTTPS。我的網站 —— hellogithub，就是通過這種方式實現的 HTTPS，效果如下：
Let's Encrypt
Let's Encrypt 是一個於2015年三季度推出的數字證書認證機構，將通過旨在消除當前手動創建和安裝證書的復雜過程的自動化流程，為安全網站提供免費的SSL/TLS證書。
通過 Let's Encrypt 提供的腳本和服務，可以免費、方便 地給自己的網站加上 HTTPS，步驟簡單、方便快捷。
下面就一一道來，示例的操作環境如下：
系統版本：ubuntu 14.04，nginx 版本：nginx/1.4.6 (Ubuntu)
准備工作
- 查看 nginx 版本：
nginx -v - 查看 nginx 是否包含
ssl模塊：2>&1 nginx -V | tr ' ' '\n'|grep ssl - 檢查 nginx 的重要配置：
user root; ## 運行身份為 root
...
server {
# 后面用於 cerbot 驗證網站的所有權
location /.well-known/ {
root /path;
}
}
...
步驟
安裝 certbot
- 通過 Let's Encrypt 網站提供的 cerbot 安裝教程，選擇自己的配置方式和操作系統。
- 安裝 certbot。
sudo add-apt-repository ppa:certbot/certbot
sudo apt-get update
sudo apt-get install certbot
- 運行 certbot：
certbot certonly，進入交互界面進行申請證書和驗證網站的所有權。 - 提高安全系數：
sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048
配置 nginx
下面以域名 example.com 為例：
server {
listen 80;
server_name example.com www.example.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
server_name example.com www.example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_stapling on;
ssl_stapling_verify on;
add_header Strict-Transport-Security max-age=15768000;
...
}
自動續簽證書
Let's Encrypt 的證書 90 天過期，所以需要定期檢查證書是否過期，同時續期。
- 查看 cerbot 腳本位置：
sudo which cerbot - 編輯 crontab ：
sudo crontab -e
30 2 * * 6 /cerbot 腳本位置/certbot renew --dry-run >> /var/log/le-renew.log
35 2 * * 6 /usr/sbin/service nginx reload
每周六 2:30 檢查證書，然后 2:35 重新加載 nginx 配置