Docker获取Let`s Encrypt SSL 证书

文中的操作都是在CentOS Stream release 9下执行的，使用的是root用户。

1. 安装docker

1. # 卸载原有的docker
2. yum remove docker docker-client docker-client-latest docker-common docker-latest docker-latest-logrotate docker-logrotate docker-engine
3. # 安装依赖
4. yum install -y yum-utils device-mapper-persistent-data lvm2
5. # 配置docker-ce源
6. yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
7. # 安装docker
8. yum install docker-ce docker-ce-cli containerd.io docker-compose-plugin
9. # 安装docker-compose
10. wget https://github.com/docker/compose/releases/download/v2.17.2/docker-compose-linux-x86_64
11. chmod +x docker-compose-linux-x86_64 && mv docker-compose-linux-x86_64 /usr/local/bin/docker-compose && ldconfig

复制代码

2. Let`s Encrypt及Certbot介绍

关于Let`s Encrypt可以参见这里。
certbot安装使用参加这里。
3. Docker运行Certbot获取证书

为了方便维护、升级，同时也避免破坏本地的开发环境，我这里使用docker方式来运行certbot。整个过程分为两步：首次申请证书和证书更新。
3.1 首次申请证书

因为我的文章都是通过jekyll运行的静态网站，之后会通过nginx来运行，所以这里就以nginx为例来配置网站的tls证书。

• 创建nginx配置文件default.conf：
  

1. server {
2.     listen      80;
3.     server_name example.com www.example.com;
5.     # 高优先级，仅用于更新证书
6.     location ~ /.well-known/acme-challenge {
7.         allow all;
8.         root /data/letsencrypt;
9.     }
10. }

复制代码

• docker-compose文件：
  

1. version: '3.3'
3. services:
4.   nginx:
5.     image: nginx:1.23.4-alpine
6.     container_name: frontend
7.     volumes:
8.       - ./default.conf:/etc/nginx/conf.d/default.conf
9.       - ./frontend:/usr/share/nginx/html
10.     ports:
11.       - 80:80

复制代码

• 启动web服务: docker-compse up -d
  
• 启动certbot申请证书：
  

docker run --rm -it -v ./certbot/etc/letsencrypt:/etc/letsencrypt -v ./certbot/var/log/letsencrpt:/var/log/letsencrypt -v ./frontend:/data/letsencrypt certbot/certbot:latest certonly --webroot --email your@eamil.com --agree-tos --no-eff-email --webroot-path=/data/letsencrypt -d example.com -d example.com

运行结束后可以在./certbot/etc/letsencrypt/live目录下找到example.com文件夹，其中包含证书文件fullchain.pem和私钥文件privkey.pem。

• 停止web服务：docker-compose down
  
• 更新compose文件：
  

1. version: '3.3'
3. services:
4.   nginx:
5.     image: nginx:1.23.4-alpine
6.     container_name: frontend
7.     volumes:
8.       - ./default.conf:/etc/nginx/conf.d/default.conf
9.       # - ./frontend:/usr/share/nginx/html
10.       - ./certbot/etc/letsencrypt/live:/letsencrypt/live        # 当前证书目录
11.       - ./certbot/etc/letsencrypt/archive:/letsencrypt/archive  # 历史证书目录
12.       - ./dhparam-2048.pem:/letsencrypt/dhparam-2048.pem        # 使用2048位DH（Diffie-Hellman）参数
13.     ports:
14.       - 80:80
15.       - 443:443

复制代码

2048为DH参数生成命令：openssl dhparam -out ./dhparam-2048.pem 2048

• 更新nginx配置文件
  

1. # 处理http请求
2. server {
3.     listen      80;
4.     server_name example.com www.example.com;
6.     # 重定向到https
7.     location / {
8.         rewrite ^ https://$host$request_uri? permanent;
9.     }
11.     # 高优先级，仅用于更新证书
12.     location ~ /.well-known/acme-challenge {
13.         allow all;
14.         root /data/letsencrypt;
15.     }
16. }
18. # 处理https请求
19. server {
20.     listen 443 ssl http2;
21.     server_name example.com www.example.com;
23.     server_tokens off;
25.     ssl_certificate /letsencrypt/live/example.com/fullchain.pem;
26.     ssl_certificate_key /letsencrypt/live/example.com/privkey.pem;
28.     ssl_buffer_size 8k;
30.     ssl_dhparam /letsencrypt/dhparam-2048.pem; # 使用2048位DH参数，加强安全
32.     ssl_protocols TLSv1.2 TLSv1.1 TLSv1;
33.     ssl_prefer_server_ciphers on;
34.     ssl_ciphers ECDH+AESGCM:ECDH+AES256:ECDH+AES128:DH+3DES:!ADH:!AECDH:!MD5;
36.     ssl_ecdh_curve secp384r1;
37.     ssl_session_tickets off;
39.     # OCSP stapling
40.     ssl_stapling on;
41.     ssl_stapling_verify on;
42.     resolver 8.8.8.8;
44.     root /usr/share/nginx/html;
45.     index index.html;
46. }

复制代码

• 重新启动web服务：docker-compose up -d
  

3.2 证书更新

• 通过以下脚本可以实现证书更新：
  

1. #!/bin/bash
3. docker run -it --rm \
4. -v ./certbot/etc/letsencrypt:/etc/letsencrypt \
5. -v ./certbot/var/lib/letsencrypt:/var/lib/letsencrypt \
6. -v ./certbot/var/log/letsencrypt:/var/log/letsencrypt \
7. -v ./site:/data/letsencrypt \
8. certbot/certbot \
9. renew --webroot -w /data/letsencrypt --quiet && docker kill --signal=HUP frontend

复制代码

• crontab -e新增一条定时任务，每月1号00:00更新一次证书：0 0 1 * * {{YOURPATH}}/renew.sh
  

声明：本作品采用署名-非商业性使用-相同方式共享 4.0 国际 (CC BY-NC-SA 4.0)进行许可，使用时请注明出处。
Author: mengbin
blog: mengbin
Github: mengbin92
cnblogs: 恋水无意

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！