HTTPS证书配置指南

522 字

3 分钟

HTTPS证书配置指南

2025-08-06

拾零集

HTTP

/

Nginx

本文涉及操作以 ContOS7 为例。

1. 安装 certbot 及 Nginx 插件#

首先安装必要的软件包：

1
sudo yum install -y epel-release
2
sudo yum install -y certbot python2-certbot-nginx

2. 确保域名已解析到服务器#

在申请证书前，请确保：

域名 DNS 已正确解析到你的服务器 IP
Nginx 已启动并监听 80 端口
防火墙已开放 80 和 443 端口

1
# 将http和https端口加入防火墙白名单
2
sudo firewall-cmd --permanent --add-service=http
3
sudo firewall-cmd --permanent --add-service=https
4
# 重新加载防火墙规则
5
sudo firewall-cmd --reload

3. 使用 certbot 申请并配置证书#

单个域名自动配置

1
sudo certbot --nginx -d yourdomain.com

多域名证书自动配置

1
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

交互式配置

1
sudo certbot --nginx
2

3
# 然后按提示选择域名和配置选项。

4. certbot 自动完成的操作#

certbot 会自动完成以下操作：

验证域名所有权。
申请 Let’s Encrypt 证书。
自动修改 Nginx 配置文件，添加 SSL 配置。
设置 HTTP 到 HTTPS 的重定向。
重新加载 Nginx 配置。

5. 验证证书配置#

检查配置：

1
# 检查 Nginx 配置
2
sudo nginx -t
3

4
# 查看证书信息
5
sudo certbot certificates

浏览器验证：

在浏览器访问 https://yourdomain.com 验证证书是否生效。

6. 自动续期#

certbot 安装后会自动配置续期任务，可以进行测试：

1
# 测试自动续期（不会真正续期）
2
sudo certbot renew --dry-run
3

4
# 手动续期（如需要）
5
sudo certbot renew

检查自动续期任务：

1
# 检查 cron 任务
2
sudo crontab -l
3

4
# 检查 certbot timer 状态
5
sudo systemctl status certbot.timer
6

7
# 查看 systemd timer
8
sudo systemctl list-timers | grep certbot

7. 自动生成的 Nginx 配置示例#

1
server {
2
    listen 443 ssl;
3
    server_name yourdomain.com;
4

5
    ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
6
    ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
7
    include /etc/letsencrypt/options-ssl-nginx.conf;
8
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
9

10
    # 你的其他配置...
11
    location / {
12
        proxy_pass http://127.0.0.1:8080;
13
        proxy_set_header Host $host;
14
        proxy_set_header X-Real-IP $remote_addr;
15
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
16
        proxy_set_header X-Forwarded-Proto $scheme;
17
    }
18
}
19

20
# HTTP 重定向到 HTTPS
21
server {
22
    listen 80;
23
    server_name yourdomain.com;
24
    return 301 https://$server_name$request_uri;
25
}