十里平湖霜满天，寸寸青丝愁华年

MENU

28

Jan 2021

使用acme.sh签发证书

VPS教程科学技术tlanyan2023年4月27日

本文目录

安装acme.sh
使用acme.sh签发证书
acme.sh提示
参考

前文使用Let’s Encrypt获取免费证书介绍了使用 certbot 工具从Let’s Encrypt获取免费证书。但certbot需要自行设置定时任务更新证书、依赖于新版 Python（Debian 9等系统的Python是即将放弃支持的Python 3.5）、以及不少DNS验证插件需要自行安装。

鉴于上述缺点，考虑换成自动化程度更高、使用起来更简易的另一个ACME协议客户端：acme.sh。本教程简要介绍使用acme.sh从Let’s Encrypt获取免费证书。

安装acme.sh

acme.sh 官网是 https://github.com/acmesh-official/acme.sh，里面已经有比较详细的中文使用说明。

首先是安装acme.sh：

curl https://get.acme.sh | sh

如果提示“curl: command not found”，CentOS/RHEL/Aliyun OS等衍生系统使用：yum install -y curl，Debian/Ubuntu及衍生系统使用：apt update && apt install -y curl 安装curl，然后再次运行上面的acme.sh安装命令。

更新：新版acme.sh使用ZeroSSL作为CA，建议切换到Let’s Encrypt的CA：~/.acme.sh/acme.sh --set-default-ca --server letsencrypt

acme.sh 依赖于cron执行定时任务，安装完成后，输入 crontab -l 命令，能看到如下输出：

41 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

定时任务保证了证书在到期前能自动续期。由于ACME协议和Let’s Encrypt CA都在频繁的更新，因此建议开启acme.sh的自动升级：

~/.acme.sh/acme.sh  --upgrade  --auto-upgrade

注意：本文中都是使用 ~/.acme.sh/acme.sh 方式来使用命令，实际上安装好后退出终端并重新登录，便可以使用更简单的 acme.sh命令。如果你不想退出终端，可使用这条命令让 acme.sh 生效：
source ~/.bashrc
本文本着正确性，都使用全路径的~/.acme.sh/acme.sh方式。

使用acme.sh签发证书

使用acme.sh签发证书非常简单：

1. 如果你的服务器上已经运行了web软件，指定webroot即可签发证书：

~/.acme.sh/acme.sh --issue -d 域名 --webroot web目录

如果要为多个域名签发，直接加 -d 域名 就可以。

需要注意的是，非DNS验证方式签发证书的前提都是域名的IP需要指向当前服务器，并且防火墙需要

2. 如果网站已经运行Nginx/Apache，指定对应插件就可以了：

~/.acme.sh/acme.sh --issue -d 域名 --nginx # 如果是apache，换成 --apache

3. 如果没有运行web软件并且80端口空闲，可以使用acme.sh自己监听80端口进行验证：

~/.acme.sh/acme.sh --issue -d 域名 --standalone

4. 也可以使用DNS方式，手动添加DNS记录进行验证：

~/.acme.sh/acme.sh --issue --dns -d 域名
# 命令结束后，acme.sh会显示解析记录，需要到DNS后台设置解析
# 设置好解析后，生成证书
~/.acme.sh/acme.sh --renew -d 域名

对于DNS方式，acme.sh内置了许多DNS服务商的插件，使用方法参考：https://github.com/Neilpang/acme.sh/blob/master/dnsapi/README.md

如果有通配符证书要求，需要使用DNS验证方式，其他方式一个证书的域名数不能超过20

申请好证书的证书位于~/.acme.sh目录内，不建议直接使用，而是将其安装到指定目录：

~/.acme.sh/acme.sh --install-cert -d 域名 \
--key-file       密钥存放路径（例如/etc/nginx/ssl/域名.key）  \
--fullchain-file 证书存放路径（例如/etc/nginx/ssl/域名.pem） \
--reloadcmd     "service nginx force-reload"

其中--reloadcmd是可选的，用来安装好证书后重启web服务器。

接下来配置好网站的SSL配置（参考使用Let’s Encrypt获取免费证书），就可以愉快的用HTTPS方式访问你的站点了。

acme.sh提示

上面提到的申请和安装命令，执行过一次后，acme.sh便会记下你的操作，在证书即将到期前自动帮你执行一遍，非常的好用和贴心。

参考

AD：【国外VPS推荐】搬瓦工三网回程CN2 GIA VPS，季付46.87$

您可能喜欢

MacOS系统升级后出现git: error: unable to find util[…]

Gitlab跨大版本升级

Gitlab跨大版本升级

30 条评论

dringel
2023年4月27日 00:04
老哥，不太理解如下这一步的【密钥存放目录】和【证书存放路径】需要填什么信息，劳烦有空解答一下~
~/.acme.sh/acme.sh –install-cert -d 域名 \
–key-file 密钥存放目录 \
–fullchain-file 证书存放路径 \
–reloadcmd “service nginx force-reload”
回复
- tlanyan
  2023年4月27日 08:55
  我一般这样：密钥存放路径填 /etc/nginx/conf.d/域名.key，证书存放路径：/etc/nginx/conf.d/域名.pem
  回复
游客Kaspa
2023年3月30日 22:29
翻到这篇文章，突然想起来自己的SSL证书也要到期了…
回复
rab bef
2023年3月28日 19:27
可以问一下，在输入apt install -y curl之后显示
Err:1 http://deb.debian.org/debian buster/main amd64 libcurl4 amd64 7.64.0-4
404 Not Found [IP: 151.101.22.132 80]
Err:2 http://deb.debian.org/debian buster/main amd64 curl amd64 7.64.0-4
404 Not Found [IP: 151.101.22.132 80]
E: Failed to fetch http://deb.debian.org/debian/pool/main/c/curl/libcurl4_7.64.0-4_amd64.deb 404 Not Found [IP: 151.101.22.132 80]
E: Failed to fetch http://deb.debian.org/debian/pool/main/c/curl/curl_7.64.0-4_amd64.deb 404 Not Found [IP: 151.101.22.132 80]
E: Unable to fetch some archives, maybe run apt-get update or try with –fix-missing?
该如何解决吗？
回复
- tlanyan
  2023年3月28日 22:14
  先运行这条命令： apt update
  回复
巨浪
2023年2月28日 17:27
[Tue Feb 28 04:06:42 EST 2023] The domain ‘xxx.tk’ seems to have a ECC cert already, lets use ecc cert.
[Tue Feb 28 04:06:42 EST 2023] Installing key to: /etc/nginx/cert_file/key.pem
[Tue Feb 28 04:06:42 EST 2023] Installing full chain to: /etc/nginx/cert_file/fullchain.pem
cat: /root/.acme.sh/xxx.tk_ecc/fullchain.cer: No such file or directory
大佬好，我这提示上述的问题，cat: /root/.acme.sh/xxx.tk_ecc/fullchain.cer: No such file or directory,我看了下目录确实没有这个文件，我用的是letsencrypt,但是生产的ecc里边没有要找的文件
回复
- tlanyan
  2023年2月28日 19:29
  先把域名证书删了，然后再次申请
  回复
runtime
2022年12月15日 17:18
nginx SSL no start line: expecting: TRUSTED CERTIFICATE
回复
- runtime
  2022年12月15日 17:19
  按照步骤，使用生成的证书配置nginx，最后使用nginx -t，会报错nginx SSL no start line: expecting: TRUSTED CERTIFICATE。
  回复
  - tlanyan
    2022年12月15日 17:32
    证书没有生成成果，或者key和证书文件弄反了
    回复
bobo
2022年5月5日 23:14
大佬，我没改之前正常打开wp，改了nginx后就去了Welcome to CentOS欢迎界面，是不是我nginx改错了。麻烦帮我看下配置是不是有问题。
server {
listen 80;
server_name testc.bobostudio.tk testc.bobostudio.tk;
rewrite ^(.*) https://$server_name$1 permanent;
charset utf-8;
set $host_path “/var/www/testc.bobostudio.tk”;
access_log /var/log/nginx/testc.bobostudio.tk.access.log main buffer=32k flush=30s;
error_log /var/log/nginx/testc.bobostudio.tk.error.log;
root $host_path;
set $skip_cache 0;
if ($query_string != “”) {
set $skip_cache 1;
}
if ($request_uri ~* “/wp-admin/|/xmlrpc.php|wp-.*.php|/feed/|sitemap(_index)?.xml”) {
set $skip_cache 1;
}
# 登录用户或发表评论者
if ($http_cookie ~* “comment_author|wordpress_[a-f0-9]+|wp-postpass|wordpress_no_cache|wordpress_logged_in”) {
set $skip_cache 1;
}
location = / {
index index.php index.html;
try_files /index.php?$args /index.php?$args;
}
location / {
index index.php index.html;
try_files $uri $uri/ /index.php?$args;
}
location ~ ^/\.user\.ini {
deny all;
}
location ~ \.php$ {
try_files $uri =404;
fastcgi_index index.php;
fastcgi_cache wordpress;
fastcgi_cache_bypass $skip_cache;
fastcgi_no_cache $skip_cache;
fastcgi_pass 127.0.0.1:9000;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}
location ~ \.(js|css|png|jpg|jpeg|gif|ico|swf|webp|pdf|txt|doc|docx|xls|xlsx|ppt|pptx|mov|fla|zip|rar)$ {
expires max;
access_log off;
try_files $uri =404;
}
}
server {
listen 443 ssl;
server_name testc.bobostudio.tk testc.bobostudio.tk;
charset utf-8;
ssl_certificate /root/cert.crt;
ssl_certificate_key /root/private.key;
ssl_protocols TLSv1.2; # TLSv1.3需要nginx 1.13.0以上版本
# 如果nginx版本低，建议使用这种加密算法配置
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
#ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384;
ssl_ecdh_curve secp384r1;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_session_tickets off;
keepalive_timeout 70;
# 这里填写其他配置
}
回复
- tlanyan
  2022年5月6日 07:29
  443端口的配置没有正确写好root的值
  回复
Lassie
2021年8月24日 20:06
尝试了Nginx方式和acme.sh自己监听80端口两种方式，都报错这两行…知道怎么解决了
[Tue Aug 24 19:12:26 HKT 2021] Please refer to https://curl.haxx.se/libcurl/c/libcurl-errors.html for error code: 35
[Tue Aug 24 19:12:28 HKT 2021] Can not init api for: https://acme.zerossl.com/v2/DV90.
回复
- tlanyan
  2021年8月24日 21:02
  换一个证书中心：acme.sh –set-default-ca –server letsencrypt，然后再重试
  回复
  - Lassie
    2021年8月25日 01:16
    感谢问题解决
    回复
ontheway als
2021年3月16日 19:04
不懂就问
请问我可以同时进行监听80端口验证和DNS验证吗？我已经输入代码~/.acme.sh/acme.sh –issue -d 域名 –standalone.突然又想改回DNS验证，哈哈，折腾才是人生呀.
80端口验证我已经到了申到了证书
到了这一步
~/.acme.sh/acme.sh –install-cert -d 域名 \
–key-file 密钥存放目录 \
–fullchain-file 证书存放路径 \
–reloadcmd “service nginx force-reload”
我有疑问，请问有没有推荐的目录和路径呢？
然后我没有安装nginx服务，请问reloadcmd这一行指令我需要输入吗？
谢谢作者
回复
- tlanyan
  2021年3月17日 10:28
  你可以用acme.sh –remove -d 域名先把域名证书删除了，然后用dns方式重新申请
  推荐证书安装在nginx配置目录内
  如果没有安装nginx，–reloadcmd这一行可不写
  回复
  - ontheway als
    2021年3月17日 12:06
    谢谢回复
    回复
ontheway als
2021年3月15日 16:37
请问一下为什么我输入监听80端口的时候它显示是这样的
[Mon Mar 15 04:26:20 EDT 2021] Please install socat tools first.
[Mon Mar 15 04:26:20 EDT 2021] _on_before_issue.
回复
- tlanyan
  2021年3月15日 17:32
  需要先安装socat，CentOS系统：yum install -y socat，Ubuntu/Debian：apt install -y socat
  回复
  - ontheway als
    2021年3月16日 14:15
    非常感谢.我原本以为又要在网站上搜索socat的安装，但是网上说的步骤都太麻烦了，没想到你的一个代码直接解决了，非常感谢，哈哈
    回复
  - rab bef
    2023年3月29日 13:34
    请问一下，Debian11系统该怎么安装socat吗？
    回复
    - tlanyan
      2023年3月29日 16:50
      apt install -y socat
      回复
Nian Wen
2021年2月9日 12:15
文章里的”~”符号用的都是全角，奇怪。
回复
- tlanyan
  2021年2月9日 13:06
  这么奇怪，有空我改改
  回复
benben
2021年2月4日 11:48
我一直搞不懂通配符的意思，请教一下！安装XRAY和NGINX的时候，我使用了下面这些命令在一台VPS安装了通配符证书curl https://get.acme.sh | sh
source ~/.bashrc
导入CF的API：
export CF_Key=”xxxxxxxxxxxxx”
export CF_Email=”xxxxxxxxxxxxx”
~/.acme.sh/acme.sh –issue –dns dns_cf -d abcd.me -d *.abcd.me -k ec-256
~/.acme.sh/acme.sh –install-cert -d abcd.me -d *.abcd.me –fullchainpath /etc/v2ray/abcd.me.crt –keypath /etc/v2ray/abcd.me.key –ecc
定期自动更新
acme.sh –upgrade –auto-upgrade
证书安装成功后，假如我有另外一台VPS的IP也解析在这个abcd.me域名下，申请的是这个abcd.me的二级chery.abcd.me，那我在这台VPS下该怎么安装和使用我前面那个已经申请通配符的证书用在这台新的vps上面呢？需要从新走一遍上面的脚本命令来安装申请这个chery.abcd.me的证书吗？
回复
- tlanyan
  2021年2月4日 12:04
  可以把证书复制过去，也可以重新运行申请一次
  回复
  - benebn
    2021年2月4日 14:15
    感谢回复！那请问如果重新申请的话，CF-key需要重新导入吗？这条代码~/.acme.sh/acme.sh –issue –dns dns_cf -d abcd.me -d *.abcd.me -k ec-256还是这样去申请这个根域名吗？还是要变成这样我的二级域名~/.acme.sh/acme.sh –issue –dns dns_cf -d chery.abcd.me -d *.chery.abcd.me -k ec-256去申请？
    回复
    - tlanyan
      2021年2月4日 15:13
      同一台服务器上只需要运行~/.acme.sh/acme.sh –install-cert安装证书就好了，不同的服务器上需要设置CF-key这些变量，然后再次申请和安装
      回复
  - benben
    2021年2月4日 15:11
    感谢热心回复！
    回复

Pingback：在国内服务器上使用acme自动签发证书 - tlanyan
[…] 使用acme.sh签…

发表回复取消回复