安装 cerbot参考 Let's Encrypt 证书申请和续签限制 （ssl 证书）: 连接

0-先搞一个 80 测试nginx 配置文件：

准备 well-kown 目录：

mkdir -p /www/uat-dashu.baimei.com 

cat test.conf

server {
        listen 80;
        server_name uat-dashu.baimei.com;
#一键申请SSL证书验证目录相关设置
location ~ \.well-known{
    allow all;
root /www/uat-dashu.baimei.com;
}

}

然后 nginx -s reload 加载一下 test.conf

第一次要手动的生成证书文件：

certbot certonly --webroot -w /www/uat-tugele.dashu.com  -d uat-tugele.dashu.com

正确输出如下：

我们检查证书是否生成：

1查看我们续约的域名

certbot certificates

也可以ls 证书目录：

检查完以后，我们可以准备自动续约的命令了。

记住把 test.conf 给删除

mv test.conf test.conf.bak
nginx -t
nginx -s reload

1- 准备定时脚本：

定时计划：

0 2 * * * root sh /app/scripts/ssl/renewssl.sh  >> /www/renew.log 2>&1

cat renewssl.sh

#!/bin/bash
certbot renew  --quiet --deploy-hook "sh /app/scripts/ssl/ssldeploy-uat-ai.baimei.com.sh"
#certbot renew --quiet --deploy-hook "sh /app/scripts/ssl/ssldeploy-ollama.baimei.com.sh"
echo "Script executed at $(date)" >> /www/renew.log

2-准备-自动申请脚本

修改脚本的 域名，以及 ssl path 路径

cat /app/scripts/ssl/ssldeploy-uat-ai.baimei.com.sh

#!/bin/bash
renewed_domains=$RENEWED_DOMAINS
MYDOMAIN="uat-ai.baimei.com"
#SSLPATH=/opt/ssl_key/$MYDOMAIN
SSLPATH=/etc/nginx/ssl_key/oms/$MYDOMAIN
检查是否续约了特定的域名
if [[ $renewed_domains == "$MYDOMAIN" ]]; then
# 对 example.com 做特定的操作
echo " 续约$MYDOMAIN" >> /www/renew.log
# Copy the renewed certificate to the desired location
	
mkdir -p $SSLPATH

cp -f /etc/letsencrypt/live/$MYDOMAIN/fullchain.pem $SSLPATH/

cp -f /etc/letsencrypt/live/$MYDOMAIN/privkey.pem $SSLPATH/


# Reload the nginx inside the docker container
 /usr/sbin/nginx -s reload

fi

3- 准备nginx 配置文件

准备 well-kown 目录：

mkdir -p /www/uat-dashu.baimei.com 
server {
listen 443 ssl;
#listen 80;
server_name uat-dashu.baimei.com;
     ssl_certificate   /etc/nginx/ssl_key/uat/uat-dashu.baimei.com/fullchain.pem;
     ssl_certificate_key  /etc/nginx/ssl_key/uat/uat-dashu.baimei.com/privkey.pem;

gzip on;
gzip_http_version 1.1;
gzip_min_length 0;
gzip_buffers 256 64k;
gzip_comp_level 9;
gzip_types text/plain application/x-javascript application/javascript text/javascript text/css application/xml application/json text/xml;

client_header_buffer_size 16k;
client_max_body_size      100m; # 这个需要有,否则上传大文件会报错.
proxy_ignore_client_abort  on;
proxy_buffers 64 4k;




 location ^~ /.well-known {
    allow all;
    root /www/uat-dashu.baimei.com;
}
    
     location / {
      proxy_pass http://192.168.1.209:31057;
      proxy_set_header Host $proxy_host;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

}
location /stage-api/ {
    proxy_pass http://192.168.1.209:31058/;
    proxy_set_header   Host             $host;
    proxy_set_header   X-Real-IP        $remote_addr;
    proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
    # 主要websocket代理配置, $http_upgrade是指http协议头部Upgrade的值.
    proxy_http_version 1.1;
    proxy_set_header   Upgrade          $http_upgrade;
    proxy_set_header   Connection       "upgrade";
}

 access_log  /var/log/nginx/uat-dashu.baimei.com.log custom_format; 
error_log  /var/log/nginx/uat-dashu.baimei.com.error.log;

   error_page 502 503 /50x.html;
   location = /50x.html {
      root /usr/share/nginx/html;

}
}
server {
listen 80;
server_name uat-dashu.baimei.com;
if ($host != 'uat-dashu.baimei.com') {
return 403;
}
#return 302 https://$server_name$request_uri;
    rewrite ^/(.*)$ https://$server_name:443/$1 permanent;

}

4- 测试：

第一步： 先强制续约，看看脚本是否生效

certbot renew --force-renewal --quiet --deploy-hook "sh /app/scripts/ssl/ssldeploy-uat-tugele.baimei.com.sh"

检查：

cat /www/renew.log

是否有 "续约。。。"

验证证书目录：

ll /etc/nginx/ssl_key/uat/uat-tugele.baimei.com/

再次验证证书时间的时间：

openssl x509 -in /etc/nginx/ssl_key/uat/uat-tugele.baimei.com/fullchain.pem -noout -startdate -enddate

如果日期没问题，那么我们自动续约的就可以了。

整理脚本，可以投入生产了。