不自重者,取辱。不自长者,取祸。不自满者,受益。不自足者,博闻。
Website-ssl.sh:低门槛跨入Https大门 进入全屏
line

一、前言

网站https化已是大势所趋,我的个人blog也是老早之前就想搞的,总是没时间。 今天休假,在家折腾了一下,baidufe.com的图标终于变成绿色的小锁了,美美哒!

屏幕快照 2016-03-15 上午10.13.37.png

Jerry Qu大神研究的很深,我把自己的操作步骤整合了一下,做成一个小工具,也许对大家有用! https://github.com/zxlie/website-ssl.sh

二、使用方式

1、下载

# 下载工具
curl -so website-ssl.sh https://raw.githubusercontent.com/zxlie/website-ssl.sh/master/website-ssl.sh
chmod 0755 website-ssl.sh

没错,就这么下载了就能用了!当然,github源文件的下载,你也可以用你熟悉的任何方式!

注意:此工具会使用到openssl命令,请务必保证你的机器上已安装此工具!

2、配置

2.1 wsl.cnf.sh的配置

首次执行website-ssl.sh的时候,工具会自动在当前目录下创建配置文件:wsl.cnf.sh

sh website-ssl.sh

得到结果:

您的配置文件「wsl.cnf.sh」配置不正确或还未进行配置,请检查!

你可用任意编辑工具打开wsl.cnf.sh文件,针对头部的如下几个配置项进行按需配置

# ************************ 配置区域 START ******************************
# 你的ssl主目录位置
ssl_dir="/home/work/www/ssl"
# nginx中配置的,给 Let's Encrypt 验证用的
challenges_dir="/home/work/www/challenges/"
# 按照你的需求进行配置,多个域名用空格分开
websites="your-website.com www.your-website.com"
# ************************ 配置区域 END ********************************

2.2 nginx conf文件的配置

本工具是用Let's Encrypt来实现的https,所以证书的申请需要一个域名验证的过程; 也就是需要对目标站点的Nginx增加一个location,形如:

# CA认证
location ^~ /.well-known/acme-challenge/ {
    # 注:这里的$challenges_dir请替换成你自己的真实目录,如:/home/work/www/challenges/
    alias $challenges_dir;
    try_files $uri =404;
}

3、使用

# 直接执行脚本,获取帮助信息
sh website-ssl.sh

结果:

    网站ssl自动化工具(v1.0)使用方法:

    usage: sh website-ssl.sh -v | csr | pem | nginx | renew | crontab | upgrade
    -v        查看工具的版本号
    csr       根据域名配置生成csr证书文件(For pem)
    pem       生成 Let's Encrypt 认可的pem证书文件
    nginx     获取nginx配置文件Demo
    renew     更新pem证书文件
    crontab   自动更新pem证书文件的crontab任务
    upgrade   升级「website-ssl.sh」工具到最新版

4、实际使用案例

step1:创建pem文件

sh website-ssl.sh pem

注:这一步会自动为我们创建domain.key文件和ssl-encrypt.pem文件

step2:获取nginx配置的Demo

sh website-ssl.sh nginx

注:如果自己知道怎么配置nginx,这一步都可以忽略

step3:配置自己的nginx conf文件

核心就是配置一下这个:

server {
    listen 443 ssl;
    server_name  your-website.com;

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES
    ssl_prefer_server_ciphers on;
    ssl_certificate /home/work/www/ssl/ssl-encrypt.pem;
    ssl_certificate_key /home/work/www/ssl/domain.key;
    ssl_session_timeout 5m;

    ...
}

step4:重新载入nginx配置文件,https完美启用

service nginx reload

5、csr文件强制更新

此种情况,只针对「需要走https的域名有增减」的情况,我们可以手动执行命令来更新csr文件:

sh website-ssl.sh csr

只更新csr文件是没用的,还需要再次更新pem文件:

sh website-ssl.sh pem

6、ssl证书有效期问题

Let's Encrypt机构颁发的证书,默认只有90天的有效期,所以我们需要有一个证书更新的机制:

sh website-ssl.sh renew

此命令会重新生成签名证书,并重启nginx,使得站点的https寿命延续

当然,我们完全可以不用手动来做这件事情,用crontab,省事又省心:

sh website-ssl.sh crontab

把输入的内容,添加到root账号下的crontab列表中,即可:


# Let’s Encrypt 签发的证书只有90天有效期,可以设置为每月1号自动更新
0 0 1 * * sh /home/work/www/ssl/website-ssl.sh renew >/dev/null 2>&1

到此,你可以开开心心的用了!

7、工具升级方法

但凡是个工具,都可能会有bug、或者新功能迭代,等等,所以,咱们可以通过如下方式,将工具升级到最新版本:

sh website-ssl.sh upgrade

当然,要查看工具的版本号,也是有命令的:

sh website-ssl.sh -v
#或者
sh website-ssl.sh version

三、意见反馈

Site: https://www.baidufe.com

Mail: xianliezhao@foxmail.com

趣店(原趣分期)技术学院
重点关注技术架构、服务化、优秀工具、自动化平台、开发全流程一体化解决方案、新人培养、工程师进阶之道等方面
这里环境优雅、氛围年轻、主要是福利还多,还等什么?我们敞开技术的大门,欢迎各种工程师加入!

评论区域

line
  • 东子 2016-11-10 21:12:01 回复
    给你点个赞
  • wf 2016-10-30 02:29:04 回复
    回复 wf6 : mm
    wf said:
    哪天试试
  • wf 2016-10-30 02:28:43 回复
    \mml
    wgi said:
    学习了
  • wf 2016-10-30 02:25:58 回复
    哪天试试
  • wgi 2016-10-30 02:25:07 回复
    学习了
  • wg1 2016-10-30 02:24:00 回复
    回复 wgl : 我也是一样的问题
    wgl said:
    请问我执行了“sh website-ssl.sh pem”没有生成ssl-encrypt.pem文件,但是生成domain.key了
  • wf 2016-09-26 16:13:20 回复
    回复 wgl : 跟你一样只生成了account.key domain.key。没有生成ssl-encrypt.pem文件
    wgl said:
    请问我执行了“sh website-ssl.sh pem”没有生成ssl-encrypt.pem文件,但是生成domain.key了
  • wgl 2016-08-05 18:28:37 回复
    请问我执行了“sh website-ssl.sh pem”没有生成ssl-encrypt.pem文件,但是生成domain.key了
  • reeoo 2016-06-20 22:16:52 回复
    大神你好,参考你的github的文章,执行sh website-ssl.sh pem这个命令只生成了两个文件:
    account.key  domain.key,求解
  • dodoer 2016-05-16 17:17:11 回复
    好文,
    牛逼
  • schoeu 2016-04-05 19:26:25 回复
  • 小媒体 2016-03-21 18:48:31 回复
    IIS 该怎么搞,郁闷啊
  • 前端小武 2016-03-15 09:07:35 回复
    赞!!!