标签： certbot

使用 certbot 生成Let’s Encrypt通配符SSL证书

当我们有多个二级域名都需要启用 SSL 证书的时候，如果一个一个的进行证书的设置与管理是比较费时间精力的事情，还好有通配符证书。通配符证书能支持譬如 *.iconben.com 这样的多个二级域名，十分方便。

Let’s Encrypt 从2018-03-13起开始支持通配符证书。因此这给了我们免费实现系列站二级域名共用同一个证书的机会。因我们的域名解析托管在 DNSPod，以下简要说明如何使用客户端 certbot 工具，配合 certbot-dns-dnspod 插件，对于托管在 DNSPod 的域名生成通配符证书。

生成证书

安装 Certbot，选择相应的 Web Server 和操作系统，按照说明安装 Certbot。

然后通过 DNS 验证的方式生成证书：可以安装 Certbot’s DNS plugins。手动和自动都可以生成 SSL 证书，因通配符的证书有效期也是3个月，使用插件自动生成的话续期十分方便。

因本站域名解析使用的是DNSPod，可以使用 certbot-dns-dnspod，使用 pip 安装，如 pip3 install certbot-dns-dnspod。

针对那些没有在列表中DNS服务商，可以去自行搜索相关插件。

安装完成后，还需要登录到 DNSPod控制台 生成API Token，并保存在配置文件/path/credential.ini中。注意 DNSPod 已经启用了 V3 版 API，但我们这里使用的是 V2 版。配置文件中需要有 email 参数，必须是 DNSPod 账号的登录邮箱，api_token 参数，必须是双引号括起来的 “ID,Token”的形式，例子如下：

dns_dnspod_email = someone@example.com
dns_dnspod_api_token = "12345,c54cd52eae137f765af143d1dfader3434"

接下来运行命令行：

sudo certbot certonly -a dns-dnspod --dns-dnspod-credentials /path/credentials.ini -d example.com -d "*.example.com" 

# -a：指定使用的插件
# --dns-dnspod-credentials ：指定 dnspod 使用的 含 email 和 api_token 的配置文件
# -d：指定要生成证书的域名

其他DNS plugins的使用也是类似的。

运行命令后，根据向导输入邮箱，同意条款，选择是否与 EFF 共享个人邮箱信息，然后 DNS plugin 创建 DNS TXT 记录，进行域名验证，然后生成 SSL 证书，然后删除 DNS TXT记录。最后提示证书生成成功！

换用腾讯云的免费SSL

之前曾用过沃通的免费SSL，结果几个月前备谷歌宣布不再信任该机构。也曾用过starSSL，似乎也有相似问题。

后来曾用Let’s Encrypt，挺好用，但有两个缺点：

1，证书有效期太短，才半年，感觉眼睛一眨就得要去renew了；

2，在复杂配置的centos上面自动化很麻烦，我们站点设置了80端口自动转https，但certbot（Let’s Encrypt客户端）要工作必须先要能访问验证域名，需要放置验证文件能在80端口下访问。这也意味着每次我们renew证书还需要修改站点配置。自动化Renew反正是没用上。

近期正好看到腾讯有免费ssl，就去申请了一下。很方便，验证方式也比较容易。有效期一年，比Let’s Encrypt长。既然自动化不了，暂时就用他家的方案了。

为基于Docker的Gitlab服务器配置Let’s Encrypt颁发的SSL证书

继之前跨服务器迁移基于Docker的Gitlab之后，这两天又配置了该Gitlab服务器的HTTPS协议，以增加安全性。SSL证书方面，为了一劳永逸，选择Let’s Encrypt解决方案，用CertBot作为ACME的客户端。

服务器是CentOS 7.2 运行着17.03.1版本的Docker，Gitlab容器（基于OMNIBUS的镜像）是9.1.1版本。

文件存储的映射方面，Gitlab的配置及数据，均被映射到了宿主机的/srv/gitlab/文件夹。

首先是要修改Gitlab的external_url，将http://gitlab.example.com 改为 https://gitlab.example.com。具体既可以修改gitlab的配置文件gitlab.rb，也可以删除容器以后，用新的external_url作为命令参数，创建新的容器，此处不详述。

重新运行gitlab以后，暂时是访问不到的，因为需要放置SSL证书。证书位置默认在容器内的/etc/gitlab/ssl/目录，对应的宿主服务器上的地址就是/srv/gitlab/config/ssl/目录。如果这时候放置有效的gitlab.example.com.crt和gitlab.example.com.key文件。就会发现https站点可以访问了。为了访问方便，本机gitlab容器的端口映射之前已经配置成了http是80，https是443。这时候也注意到一件事情：如果访问http站点，会自动307重定向到https站点。

下面配置Letsencrypt证书，这里需要做三件事：

1，安装certbot，配置服务器以便获取证书；
2，安装证书到gitlab容器；
3，自动续期证书以及自动安装证书；

第一件事，参照官方文档安装并配置certbot。按官方推荐，选择webroot插件的方式。这里的要点是，需要在http://gitlab.example.com站点下创建特定的文件夹，以便certbot放置随机生成的文件，来验证你的网站控制权。

这时候，需要先修改gitlab容器的端口映射配置，让出80端口，然后在宿主机上配置nginx服务器（当然也可以是apache或者其他），配置http:/gitlab.example.com站点，并放置用来验证网站控制权的/.well-known目录。当然，考虑到gitab站点的真正内容应该基于https访问，因此可以对http站点的其他内容设置301重定向。

本机的nginx里面该站点的配置如下供参考：

server {
    listen      80;
    server_name gitlab.example.com;

    location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root    /usr/share/nginx/html;
    }

    location = /.well-known/acme-challenge/ {
        return 404;
    }

    location / {
         return 301 https://gitlab.example.com;
    }
}

第二件事，将/etc/letsencrypt/live/gitlab.example.com 文件夹下的fullchain.pem 和 privkey.pem复制到/srv/gitlab/config/ssl/文件夹下且分别命名为gitlab.example.com.crt 和gitlab.example.com.key；

第三件事，如果需要certbot自动续期ssl，只要在cron里面设置自动执行如下语句：

05 12 * * * certbot renew
10 12 * * * cp -u /etc/letsencrypt/live/gitlab.example.com/fullchain.pem /srv/gitlab/config/ssl/gitlab.example.com.crt
11 12 * * * cp -u /etc/letsencrypt/live/gitlab.example.com/privkey.pem /srv/gitlab/config/ssl/gitlab.example.com.key

这里要注意，certbot生成的文件有三个，经过我测试，拷贝证书文件的时候，如果是将cert.pem拷贝成gitlab.example.com.crt，虽然从浏览器访问该https://gitlab站点没问题，但git 做clone、checkout等操作的时候，却会报错：

SSL certificate problem: unable to get local issuer certificate

经测试，用fullchain.pem文件就可以。
当时碰到这个问题的时候，花了点时间，网上的解决办法多半是关掉Git的SSL校验功能，属于不求甚解。现在看来，这种某个特定网站的SSL报错，且证书发行者又是比较常见的发行者的情况，多半是证书文件有问题。