一个快速获取/更新 Let's encrypt 证书的 shell script

[clanned]

https://github.com/xdtianyu/scripts/tree/master/lets-encrypt

调用 acme_tiny.py 认证、获取、更新证书，不需要额外的依赖。

下载到本地

wget https://raw.githubusercontent.com/xdtianyu/scripts/master/lets-encrypt/letsencrypt.conf
wget https://raw.githubusercontent.com/xdtianyu/scripts/master/lets-encrypt/letsencrypt.sh
chmod +x letsencrypt.sh

配置文件
只需要修改 DOMAIN_KEY DOMAIN_DIR DOMAINS 为你自己的信息

ACCOUNT_KEY="letsencrypt-account.key"
DOMAIN_KEY="example.com.key"
DOMAIN_DIR="/var/www/example.com"
DOMAINS="DNS:example.com,DNS:whatever.example.com"

执行过程中会自动生成需要的 key 文件。

运行

./letsencrypt.sh letsencrypt.conf

注意
需要已经绑定域名到 /var/www/example.com 目录，即通过 http://example.com http://whatever.example.com 可以访问到 /var/www/example.com目录，用于域名的验证

cron 定时任务

每个月自动更新一次证书，可以在脚本最后加入 service nginx reload等重新加载服务。

0 0 1 * * /etc/nginx/certs/letsencrypt.sh /etc/nginx/certs/letsencrypt.conf >> /var/log/lets-encrypt.log 2>&1

[Cavolo]

get ，感谢楼主

[ahu]

我就知道会有，好快！

[ahu]

@clanned 何不把本文内容设为该项目的 README.md 呢

[clanned]

@ahu 已经添加到 README-CN.md ，谢谢建议

[mx1700]

为什么我着没有 /etc/ssl/openssl.cnf 文件。。。生成失败

[pupboss]

话说这个有没有可能像 StartSSL 一样，那谁脑子一抽就给封了

[lution]

Lets Encrypt 的认证一定要通过 80 端口吗？ 可以通过其他端口（ 443 ）来进行认证吗？

[skydiver]

@lution 你还没有证书呢，怎么通过 443 。。。

[yeyeye]

请收下我的膝盖吧！

[yeyeye]

@clanned 细细看了楼主 2 遍正文，有一个疑问 /需求想提出来。

在这个浮躁的社会，一个 IP 用 SNI 搞好几个证书将是常态（ sha256 就把 IE6 刷掉了，以后又不准签发 sha1 证书，所以 SNI 必然很快会是常态）

所以楼主可否解决此问题，一个脚本直接可以处理多个证书，我想这个问题处理好，就能满足大部分的欲望了……

[clanned]

@pupboss startssl 有段时间被封过？最近两年都可以正常使用


@lution 用官方客户端可以用 standalone 模式，指定端口，这样客户端会自己建一个 Web 服务器用于认证。


@mx1700 是不是没有安装 OpenSSL ？还是自己编译了 OpenSSL ，找下

/usr/local/ssl/openssl.cnf
/usr/lib/ssl/openssl.cnf
/etc/ssl/openssl.cnf

[clanned]

@yeyeye 你是说一个证书多个域名吗？ DOMAINS="DNS:example.com,DNS:whatever.example.com"，这个配置是两个域名的例子，你按照格式添加就行了，最好不要太多

[oott123]

@mx1700 CentOS 好像是 /etc/pki/ssl 还是 /etc/ssl/pki 目录下

[xhat]

dns query timed out 是怎么回事，难道 dnspod 在国外不被解析么

[xhat]

@clanned @mx1700
/etc/pki/tls/openssl.cnf

[yylzcom]

@clanned 一个服务器上好几个网站需要好几个证书，这个有没有什么办法呢

[imWBB]

试了 很好用。

[clanned]

@xhat 是的， let's encrypt 用的 Google 8.8.8.8 解析， dnspod 这段时间对 8.8.8.8 解析有问题，我昨天已经切换到 cloudxns 了。用 nslookup lets-encrypt.xdty.org 8.8.8.8 检查下域名，更多细节参考 https://www.xdty.org/1909


@yylzcom 同一个证书可以签署同一个域名的多个二级域名，也可以添加多个不同域名，应该没有影响，参考这个配置 DOMAINS="DNS:example.com,DNS:whatever.example.com"

[imxieke]

支持通配符不？（我想我自己已经有答案了 ）

[yeyeye]

@clanned 看你的解释感觉这个 Let's encrypt 简直不能更棒了，完全不像一个刚出生的婴儿……还能搞自动化，验证方式也多样化。如果不被打压，确实很赞！以前 startssl 被墙了一次（使用了 Startssl 的国外服务器站点都被墙了一小段时间，我记得是很短的一个时间，几个小时？几天？）

[TrustyWolf]

我有强迫症，绝对不会在运行着网站的服务器上额外安装任何东西...
So. 感觉 StartSSL 要方便不少。

[yylzcom]

@TrustyWolf 这个不会长时间占用 80 端口，而且整个过程首次也就不到 5 分钟，设置好之后就是几秒钟甚至自动续期... 比 StartSSL 方便...

[TrustyWolf]

@yylzcom 我比较希望 Let's Encrypt 能增加证书的有效期和域名的认证方式，比如通过添加 DNS 的 TXT 记录之类的。

[clanned]

@yylzcom 并没有占用 80 端口，只是在你的 Web 目录写了认证域名的临时文件


@TrustyWolf 没有安装额外依赖，就是再发 HTTP 请求下载证书，比 startssl 方便很多。应该不会有 txt 认证，这个是认证域名解析，就算是你拿到免费的动态域名解析服务也可以签证书。


@imxieke 不支持通配符野证书

[dallaslu]

@clanned 野卡证书……

[johnjiang85]

@xhat
@clanned
关于 letsencrypt 无法验证使用 DNSPod 解析的域名的情况，我们经过排查主要为两个原因造成：
1. 超时错误。
DNSPod 免费服务器最近几天一直持续受到大流量攻击，且中国电信骨干网络出现拥塞，从国外访问 DNSPod 免费 DNS 服务器丢包严重，导致国外 DNS （如 8.8.8.8 ）解析 DNSPod 免费域名异常，该问题目前已基本恢复正常。
2. DNS 验证失败错误.
letsencrypt 在最终验证时使用了随机大小写（ 0x20 encode ）方式进行 DNS 解析请求，以及请求 CAA 记录（可以不支持）。 DNSPod 为了提高解析服务器的性能，以及应对随机大小写方式的 DNS FLOOD 攻击，是没有对该验证方式进行支持的，一律返回小写。我们正在对该问题进行验证，验证 OK 后将尽快更新支持 letsencrypt 。

[Niphor]

只能通过 80 端口略蛋疼啊

我开发板用的家用网络 80 被封了...

[xhat]

@johnjiang85 消息来的太慢，已换 cloudxns 成功

[mx1700]

我用的阿里的 DNS 解析，报错 DNS query timed out
但 nslookup 检查 8.8.8.8 是能解析的，这是不想让我用吗

[imxieke]

你好 出现错误了唉 求解
```
Traceback (most recent call last):
File "/tmp/acme_tiny.py", line 2, in <module>
import argparse, subprocess, json, os, sys, base64, binascii, time, hashlib, re, copy, textwrap, logging
ImportError: No module named argparse
```

[lution]

@johnjiang85 我这里始终都是 DNS query timed out

[clanned]

@imxieke 你的操作系统、环境是什么？ argparse 是 libpython2.7-stdlib 标准库里的内容

[imxieke]

@clanned centos 6.5 64 位， python2.6 是 python 版本低了？

[xhat]

@imxieke
yum install python-argparse

[imxieke]

@xhat 好的 我在升级 python ，等下我试试 谢谢哈

[johnjiang85]

@lution 现在国内 letsencrypt 解析 timed out 非常多，包括 DNSPod 、阿里等的 DNS 基本都是 timed out ，无法验证通过。 0x20 问题我们是使用国外节点进行测试的。

[lution]

@johnjiang85 感谢回复，因为这个问题已经迁到 CloudFlare 了，说实话，感觉真不错。

[johnjiang85]

测试感觉现在 letsencrypt 的验证规则一直在变， 12.09 的最新规则 DNSPod 、 ali 、 XNS 等都无法验证通过了，都报 timed out 错误， DNSPod 这边修改后的解析程序，测试已经可以验证通过，本周将从免费版逐步灰度更新。
主要修改内容有:1. 支持 0x20 encode （ letsencrypt 貌似已经修改了该规则，不再需要了，但是还是会进行支持）. 2.对 CAA 请求进行应答

[dot]

我用安全宝倒是一次过了……从 DNSPod 出来的……

[quericy]

@johnjiang85
我说用官方的 no root 工具咋一直报 dns 查询错误
原来是这样 orz

[johnjiang85]

@quericy
目前 DNSPod 免费套餐灰度更新了部分服务器，已经可以验证通过 letsencrypt 的证书了。
之前一些其他国内 NS 可以验证通过，但是现在无法验证通过了，主要是 letsencrypt 修改了规则，重新兼容新规则，并申请开通安全防护策略耽误了一些时间。

[fishlee]

谢谢分享了。

[quericy]

@johnjiang85 感谢,这次 2 分钟就搞定了

[rio]

@johnjiang85 又开始超时了

[CloudXNS]

CloudXNS 本版更新已兹磁，欢迎测试。~
https://www.cloudxns.net/Support/detail/id/1062.html

[typcn]

@CloudXNS 才发现 cloudxns 免费版都自带全球解析加速，在国外相当于免费的 amazon route 53

[CloudXNS]

@typcn 我们免费版和收费版的解析是一样的。

[janecc]

不支持阿里 DNS ，怎么破解

[clanned]

@janecc 临时把 ns 解析切换到国外或者国内可用的服务商

[baiyuxiong]

这四个参数都表示什么意思？

ACCOUNT_KEY="letsencrypt-account.key"
DOMAIN_KEY="example.com.key"
DOMAIN_DIR="/var/www/example.com"
DOMAINS="DNS:example.com,DNS:whatever.example.com"

[baiyuxiong]

为什么没有 fullchain.pem 和 privkey.pem ？
nginx 应该怎么配置？

[a308057848]

ACCOUNT_KEY 去哪里拿

[clanned]

@a308057848 "执行过程中会自动生成需要的 key 文件。", 设置好名字就行，会自动生成。

[Remember]

@clanned 支持 ecdsa 证书么

[panlilu]

已用，非常赞，感谢已送上。

[leobin]

出现错误求教

Generate CSR...leob.csr
error on line -1 of /dev/fd/63
3073984776:error:02001002:system library:fopen:No such file or directory:bss_file.c:169:fopen('/dev/fd/63','rb')
3073984776:error:2006D080:BIO routines:BIO_new_file:no such file:bss_file.c:172:
3073984776:error:0E078072:configuration file routines:DEF_LOAD:no such file:conf_def.c:197:
Parsing account key...
Parsing CSR...
Traceback (most recent call last):
File "/tmp/acme_tiny.py", line 198, in <module>
main(sys.argv[1:])
File "/tmp/acme_tiny.py", line 194, in main
signed_crt = get_crt(args.account_key, args.csr, args.acme_dir, log=LOGGER, CA=args.ca)
File "/tmp/acme_tiny.py", line 70, in get_crt
raise IOError("Error loading {0}: {1}".format(csr, err))
IOError: Error loading leob.csr: unable to load X509 request
3074353416:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:703:Expecting: CERTIFICATE REQUEST

[clanned]

@leobin 什么系统环境的？我也不清楚这个是什么问题

[leobin]

@clanned 好吧，是 debian7 ，我用官方教程装好了

[Faratv2]

@leobin
@clanned
和 56 楼遇到了一样的问题

[yidongnan]

@baiyuxiong fullchain.pem 和 privkey.pem 的问题解决了吗

[Neo]

Traceback (most recent call last):
File "/tmp/acme_tiny.py", line 198, in <module>
main(sys.argv[1:])
File "/tmp/acme_tiny.py", line 194, in main
signed_crt = get_crt(args.account_key, args.csr, args.acme_dir, log=LOGGER, CA=args.ca)
File "/tmp/acme_tiny.py", line 123, in get_crt
wellknown_path, wellknown_url))

请问这个问题有解吗？

[Neo]

@clanned cenos7

[Aduang]

Traceback (most recent call last):
File "/tmp/acme_tiny.py", line 198, in <module>
main(sys.argv[1:])
File "/tmp/acme_tiny.py", line 194, in main
signed_crt = get_crt(args.account_key, args.csr, args.acme_dir, log=LOGGER, CA=args.ca)
File "/tmp/acme_tiny.py", line 123, in get_crt
wellknown_path, wellknown_url))
centos7 求救