如何在 Ubuntu 20.04 上使用 Let's Encrypt 保护 Nginx

介绍

Let's Encrypt 是一个证书颁发机构 (CA)，它提供了一种简单的方法来获取和安装免费的TLS/SSL 证书，从而在 Web 服务器上启用加密的 HTTPS。它通过提供软件客户端 Certbot 来简化流程，该客户端尝试自动执行大部分（如果不是全部）所需步骤。目前，获取和安装证书的整个过程在 Apache 和 Nginx 上都是完全自动化的。

在本教程中，您将使用 Certbot 在 Ubuntu 20.04 上为 Nginx 获取免费的 SSL 证书，并将您的证书设置为自动续订。

本教程将使用单独的 Nginx 服务器配置文件而不是默认文件。我们建议为每个域创建新的 Nginx 服务器块文件，因为它有助于避免常见错误并维护默认文件作为后备配置。

先决条件

要学习本教程，您需要：

设置一个 Ubuntu 20.04 服务器，包括启用 sudo 的非root用户和防火墙。
一个注册的域名。本教程将example.com贯穿始终。
为您的服务器设置的以下两个 DNS 记录。
example.com指向您服务器的公共 IP 地址的 A 记录。
指向您服务器的公共 IP 地址的 A 记录。www.example.com
按照如何在 Ubuntu 20.04 上安装 Nginx 安装 Nginx。确保您的域有一个服务器块。本教程将用作示例。/etc/nginx/sites-available/example.com

步骤 1 - 安装 Certbot

使用 Let's Encrypt 获取 SSL 证书的第一步是在您的服务器上安装 Certbot 软件。

安装 Certbot 和它的 Nginx 插件apt：

sudo apt install certbot python3-certbot-nginx

Certbot 现在可以使用了，但是为了让它自动为 Nginx 配置 SSL，我们需要验证 Nginx 的一些配置。

步骤 2 — 确认 Nginx 的配置

Certbot 需要能够server在您的 Nginx 配置中找到正确的块才能自动配置 SSL。具体来说，它通过查找server_name与您为其申请证书的域匹配的指令来实现这一点。

如果您按照Nginx 安装教程中的服务器块设置步骤进行操作，则您的域中应该有一个服务器块，并且已正确设置了指令。/etc/nginx/sites-available/example.comserver_name

要检查，请使用nano或您喜欢的文本编辑器打开您的域的配置文件：

sudo nano /etc/nginx/sites-available/example.com

找到现有的server_name行。它应该是这样的：

/etc/nginx/sites-available/example.com

...
server_name example.com www.example.com;
...

如果是，请退出编辑器并继续下一步。

如果不是，请更新它以匹配。然后保存文件，退出编辑器，并验证配置编辑的语法：

sudo nginx -t

如果出现错误，请重新打开服务器块文件并检查是否有任何拼写错误或缺失字符。配置文件的语法正确后，重新加载 Nginx 以加载新配置：

sudo systemctl reload nginx

Certbot 现在可以找到正确的server块并自动更新它。

接下来，让我们更新防火墙以允许 HTTPS 流量。

步骤 3 — 允许 HTTPS 通过防火墙

如果您ufw按照先决条件指南的建议启用了防火墙，则需要调整设置以允许 HTTPS 流量。幸运的是，Nginxufw在安装时注册了一些配置文件。

您可以通过键入以下内容查看当前设置：

sudo ufw status

它可能看起来像这样，这意味着 Web 服务器只允许 HTTP 流量：

Status: active
To Action From
-- ------ ----
OpenSSH ALLOW Anywhere
Nginx HTTP ALLOW Anywhere
OpenSSH (v6) ALLOW Anywhere (v6)
Nginx HTTP (v6) ALLOW Anywhere (v6)

要额外允许 HTTPS 流量，请允许 Nginx 完整配置文件并删除冗余的 Nginx HTTP 配置文件限额：

sudo ufw allow 'Nginx Full'
sudo ufw delete allow 'Nginx HTTP'

您现在的状态应如下所示：

sudo ufw status

Status: active
To Action From
-- ------ ----
OpenSSH ALLOW Anywhere
Nginx Full ALLOW Anywhere
OpenSSH (v6) ALLOW Anywhere (v6)
Nginx Full (v6) ALLOW Anywhere (v6)

接下来，让我们运行 Certbot 并获取我们的证书。

步骤 4 - 获取 SSL 证书

Certbot 提供了多种通过插件获取 SSL 证书的方式。Nginx 插件将负责重新配置 Nginx 并在必要时重新加载配置。要使用此插件，请键入以下内容：

sudo certbot --nginx -d example.com -d www.example.com

这certbot与--nginx插件一起运行，-d用于指定我们希望证书有效的域名。

如果这是您第一次运行certbot，系统会提示您输入电子邮件地址并同意服务条款。执行此操作后，certbot将与 Let's Encrypt 服务器通信，然后运行质询以验证您是否控制要为其申请证书的域。

如果成功，certbot将询问您希望如何配置 HTTPS 设置。

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

选择您的选择，然后点击ENTER。配置将被更新，Nginx 将重新加载以获取新设置。certbot将以一条消息结束，告诉您该过程已成功以及您的证书的存储位置：

IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/example.com/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/example.com/privkey.pem
Your cert will expire on 2020-08-18. To obtain a new or tweaked
version of this certificate in the future, simply run certbot again
with the "certonly" option. To non-interactively renew *all* of
your certificates, run "certbot renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le

您的证书已下载、安装和加载。尝试使用重新加载您的网站https://并注意浏览器的安全指示器。它应该表明该站点已得到适当保护，通常带有锁定图标。如果您使用SSL Labs Server Test测试您的服务器，它将获得A级。

让我们通过测试更新过程来结束。

步骤 5 - 验证 Certbot 自动续订

Let's Encrypt 的证书有效期只有九十天。这是为了鼓励用户自动化他们的证书更新过程。certbot我们安装的软件包通过添加一个每天运行两次的 systemd 计时器来为我们处理这个问题，并自动更新任何在到期后三十天内的证书。

您可以使用以下命令查询计时器的状态systemctl：

sudo systemctl status certbot.timer

● certbot.timer - Run certbot twice daily
Loaded: loaded (/lib/systemd/system/certbot.timer; enabled; vendor preset: enabled)
Active: active (waiting) since Mon 2020-05-04 20:04:36 UTC; 2 weeks 1 days ago
Trigger: Thu 2020-05-21 05:22:32 UTC; 9h left
Triggers: ● certbot.service