免费SSL证书-申请更新脚本

acme.sh 实现了 acme 协议, 可以从 letsencrypt 生成免费的证书

环境：Nginx

一、安装acme.sh

curl  https://get.acme.sh | sh

#把 acme.sh 安装到root目录下
~/.acme.sh/

#并创建 一个 bash 的 alias, 方便你的使用
alias acme.sh=~/.acme.sh/acme.sh

安装过程不会污染已有的系统任何功能和文件, 所有的修改都限制在安装目录中: ~/.acme.sh/

二、SSL证书自动更新脚本

注：此脚本与2019/11/15更新，生成ECC 384bit公钥，公钥参数：ECDSA_P384

#!/bin/bash
#自动更新SSL证书,crontab每30天强制更新一次

DIR=/root/.acme.sh
SSLDIR=/etc/nginx/ssl
DOMAIN=xx.xx.net

#强制更新证书
cd $DIR 
if [ -f dhparam.pem ];then
   rm -f ./dhparam.pem
fi

#更新acme.sh到最新版
./acme.sh --upgrade

#生成ECDSA V3版的新key和cer
#强制更新证书并指定nginx Root根目录[自动添加验证文件]
./acme.sh --keylength ec-384 --issue --force  -d $DOMAIN --webroot /usr/share/nginx
sleep 2
openssl dhparam -dsaparam -out dhparam.pem 4096

#拷贝新证书覆盖ssl目录
\cp $DIR/$DOMAIN_ecc/$DOMAIN.cer $SSLDIR/
\cp $DIR/$DOMAIN_ecc/$DOMAIN.key $SSLDIR/
\cp $DIR/$DOMAIN_ecc/fullchain.cer $SSLDIR/
\cp $DIR/dhparam.pem $SSLDIR/

#重启nginx服务
/bin/systemctl restart nginx

nginx.conf

#由于证书是ECC 384bit，故需要更新ssl_ciphers参数
#HTTP2特性已启用，启用方法google
server {
      listen              443 ssl http2;
      server_name         xx.xx.com;
      keepalive_timeout   70;
      charset ISO-88509-1;

      ssl_stapling on;
      ssl_stapling_verify on;
      ssl_session_cache shared:SSL:10m;
      ssl_session_timeout 10m;
      ssl_protocols  TLSv1.2;
      ssl_prefer_server_ciphers on;
      ssl_certificate     /etc/nginx/ssl/xx.xx.com.cer;
      ssl_certificate_key /etc/nginx/ssl/xx.xx.com.key;
      ssl_trusted_certificate /etc/nginx/ssl/fullchain.cer;
      ssl_dhparam /etc/nginx/ssl/dhparam.pem;
      ssl_ciphers "ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384";
}      

GitHub: 项目地址

• 本文作者： GaryWu
• 本文链接： https://garywu520.github.io/2019/10/16/免费SSL证书-申请更新脚本/
• 版权声明： 本博客所有文章除特别声明外，均采用 MIT 许可协议。转载请注明出处！