使用acme.sh注冊免費的ssl證書

更新時間：2023年03月31日 10:13:49 作者：白楊攻城獅

這篇文章主要介紹了acme.sh注冊免費的ssl證書,本文給大家介紹的非常詳細(xì)，對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值，需要的朋友可以參考下

先決條件：首先我們需要有一個域名和一臺有公網(wǎng)IP的服務(wù)器

安裝acme.sh

curl https://get.acme.sh | sh

啟用別名

source ~/.bashrc

說明：

acme.sh 會安裝到 ~/.acme.sh 目錄下。安裝成功后執(zhí)行 source ~/.bashrc 以確保腳本所設(shè)置的命令別名生效。

說明：普通用戶和 root 用戶都可以安裝使用. 安裝過程進(jìn)行了以下幾步:

1.把 acme.sh 安裝到你的 home 目錄下: ~/.acme.sh/ ，并創(chuàng)建一個 shell 的 alias, 例如 .bashrc，方便你的使用: alias acme.sh=~/.acme.sh/acme.sh

2.自動為你創(chuàng)建 cronjob, 每天 0:00 點自動檢測所有的證書, 如果快過期了, 需要更新, 則會自動更新證書。

查看幫助信息

acme.sh -h

卸載acme.sh

acme.sh --uninstall

切換CA機(jī)構(gòu)

acme.sh --set-default-ca --server letsencrypt

說明：

acme.sh 支持四個正式環(huán)境 CA，分別是 Let’s Encrypt、Buypass、ZeroSSL 和 SSL.com，默認(rèn)使用 ZeroSSL。

生成證書

acme.sh --issue -d example.com --standalone --keylength ec-256 --force

說明：

1. --standalone 模式下默認(rèn)使用80端口，如果80端口被占用，添加 --httpport 參數(shù)使用80以外的端口

2. --keylength表示密鑰長度，后面的值可以是 ec-256 、ec-384、2048、3072、4096、8192，帶有 ec 表示生成的是 ECC 證書，沒有則是 RSA 證書。在安全性上 256 位的 ECC 證書等同于 3072 位的 RSA 證書。

3. 生成的證書將放置在~/.acme.sh/example.com/ 目錄下：

example.com.cer	證書文件
example.com.key	私鑰
ca.cer	中間證書
fullchain.cer	證書鏈

4. 當(dāng)前證書剩余有效期在30天以上時重新生成證書，需要使用--force參數(shù)

5. 建議在生成證書的時候添加 --staging 使用測試環(huán)境測試，不明白可參見后面的速率限制

更新證書

acme.sh --renew -d example.com

如果是ecc證書：

acme.sh --renew -d example.com --ecc

說明：

默認(rèn)情況下acme.sh會自動更新即將過期的證書.可以不用手動更新

如果要更新有效期大于30天的，使用--force參數(shù)

部署證書

acme.sh --install-cert -d example.com

--key-file           /path/to/keyfile/in/nginx/key.pem

--fullchain-file        /path/to/fullchain/nginx/cert.pem

--reloadcmd     "service nginx force-reload"

說明：

其實就是拷貝證書到指定位置，生成的證書的目錄供acme.sh內(nèi)部使用

查看已經(jīng)生成的證書：

acme.sh --list

查看debug：

acme.sh --issue ..... --debug

查看error：

acme.sh --issue ..... --debug 2

生成日志：

acme.sh --issue ..... --log

使用測試環(huán)境

--staging

說明：

日志文件路徑為：~/.acme.sh/acme.sh.log

速率限制

重復(fù)證書限制

概述：

所有簽發(fā)請求均受每周 5 個重復(fù)證書的限制。當(dāng)您超出重復(fù)證書限制時，您應(yīng)該會從 ACME 客戶端收到如下錯誤消息：

too many certificates (5) already issued for this exact set of domains in the
last 168 hours: example.com login.example.com: see https://letsencrypt.org/docs/duplicate-certificate-limit

此錯誤所指的“確切集”是為此證書請求的主機(jī)名集：在此示例中，example.com 和 login.example.com。如果您的證書僅針對 1 個名稱（例如 example.com）頒發(fā)，那么您的證書的主機(jī)名“確切集”將是 [example.com]。當(dāng)訂閱者在一周內(nèi)為相同的“確切集”主機(jī)名請求證書超過 5 次時，就會超出此速率限制。

解決方法：

撤銷先前發(fā)布的證書將不會重置重復(fù)證書限制。然而，仍然存在著這種情況。如果您發(fā)現(xiàn)您已經(jīng)超過了上限并且您仍然需要另一個證書來獲取相同的主機(jī)名，您總是可以要求一個不同的主機(jī)名“確切集”的證書。例如，如果您超出了 [example.com] 的重復(fù)證書限制，那么為 [example.com, login.example.com] 請求證書將會成功。同樣，如果您超出了 [example.com, login.example.com]的重復(fù)證書限制，那么為 [example.com] 申請一個單獨的證書，為 [login.example.com] 申請另一個證書將會成功。