lnmp1.5使用Let'sEncrypt创建SSL证书自动续期问题

飘易有一台服务器安装了LNMP 1.5的运行环境，然后创建虚拟主机VHOST的时候，使用了Let'sEncrypt创建了免费的SSL证书，这个证书是完全免费的，但是有3个月的限制，意味着3个月后就需要续期，幸运的是LNMP已经自动帮我们添加了一个计划任务，用于Let'sEncrypt SSL免费证书的自动续期。

 

LNMP 提供了一个 ACME.SH 脚本，方便我们执行SSL续期。

 

查看cron计划任务：

crontab -l52 0 * * * "/usr/local/acme.sh"/acme.sh --cron --home "/usr/local/acme.sh" > /dev/null

这个自动续期的脚本 acme.sh 会每天自动运行一次。

 

但是飘易发现有几个域名的SSL证书到期了之后，并没有自动续期成功。于是手动执行以下这个脚本：

[Fri Jan 17 14:16:21 CST 2020] Renew: 'dongfang.piaoyi.org'[Fri Jan 17 14:16:24 CST 2020] Single domain='dongfang.piaoyi.org'[Fri Jan 17 14:16:24 CST 2020] Getting domain auth token for each domain[Fri Jan 17 14:16:24 CST 2020] Getting webroot for domain='dongfang.piaoyi.org'[Fri Jan 17 14:16:24 CST 2020] Getting new-authz for domain='dongfang.piaoyi.org'[Fri Jan 17 14:16:27 CST 2020] The new-authz request is ok.[Fri Jan 17 14:16:27 CST 2020] Verifying:dongfang.piaoyi.org[Fri Jan 17 14:16:31 CST 2020] dongfang.piaoyi.org:Verify error:Invalid response from dongfang.piaoyi.org/.well-known/acme-challenge/JyjWREY2lkrcpAFAD5gkZ0LffaTB2xQxB9Id-my5Puw: [Fri Jan 17 14:16:31 CST 2020] Please check log file for more details: /usr/local/acme.sh/acme.sh.log[Fri Jan 17 14:16:32 CST 2020] Error renew dongfang.piaoyi.org.

从这个错误来看，可以看到SSL需要验证域名下的这个文件：

[Fri Jan 17 14:16:27 CST 2020] _currentRoot='/storage/wwwroot/dongfang.piaoyi.org'[Fri Jan 17 14:16:27 CST 2020] wellknown_path='/storage/wwwroot/dongfang.piaoyi.org/.well-known/acme-challenge'[Fri Jan 17 14:16:27 CST 2020] writing token:JyjWREY2lkrcpAFAD5gkZ0LffaTB2xQxB9Id-my5Puw to /storage/wwwroot/dongfang.piaoyi.org/.well-known/acme-challenge/JyjWREY2lkrcpAFAD5gkZ0LffaTB2xQxB9Id-my5Puw[Fri Jan 17 14:16:27 CST 2020] Changing owner/group of .well-known to www:.....[Fri Jan 17 14:16:31 CST 2020] dongfang.piaoyi.org:Verify error:Invalid response from dongfang.piaoyi.org/.well-known/acme-challenge/JyjWREY2lkrcpAFAD5gkZ0LffaTB2xQxB9Id-my5Puw:

可以看到Let'sEncrypt ACME.sh 这个脚本在写验证文件时，写错路径了：

lnmp或lnmpa 的话 /usr/local/nginx/conf/ssl/域名/域名.conf lamp的话 /usr/local/apache/conf/ssl/域名/域名.conf

将

Le_Webroot='/storage/wwwroot/dongfang.piaoyi.org'

修改为

Le_Webroot='/storage/wwwroot/dongfang.piaoyi.org/public'

 

重新执行acme脚本：

[Fri Jan 17 14:36:05 CST 2020] Renew: 'dongfang.piaoyi.org'[Fri Jan 17 14:36:06 CST 2020] Single domain='dongfang.piaoyi.org'[Fri Jan 17 14:36:06 CST 2020] Getting domain auth token for each domain[Fri Jan 17 14:36:06 CST 2020] Getting webroot for domain='dongfang.piaoyi.org'[Fri Jan 17 14:36:06 CST 2020] Getting new-authz for domain='dongfang.piaoyi.org'[Fri Jan 17 14:36:10 CST 2020] The new-authz request is ok.[Fri Jan 17 14:36:10 CST 2020] Verifying:dongfang.piaoyi.org[Fri Jan 17 14:36:14 CST 2020] Success[Fri Jan 17 14:36:14 CST 2020] Verify finished, start to sign.[Fri Jan 17 14:36:15 CST 2020] Cert success.[Fri Jan 17 14:36:15 CST 2020] Your cert is in  /usr/local/nginx/conf/ssl/dongfang.piaoyi.org/dongfang.piaoyi.org.cer [Fri Jan 17 14:36:15 CST 2020] Your cert key is in  /usr/local/nginx/conf/ssl/dongfang.piaoyi.org/dongfang.piaoyi.org.key [Fri Jan 17 14:36:16 CST 2020] The intermediate CA cert is in  /usr/local/nginx/conf/ssl/dongfang.piaoyi.org/ca.cer [Fri Jan 17 14:36:16 CST 2020] And the full chain certs is there:  /usr/local/nginx/conf/ssl/dongfang.piaoyi.org/fullchain.cer [Fri Jan 17 14:36:16 CST 2020] Run reload cmd: /etc/init.d/nginx reloadReload service nginx...  done[Fri Jan 17 14:36:16 CST 2020] Reload success

SSL 续期成功！

并且以后再过期的时候，CRON计划任务也会自动续期了。

 

 

【其他问题】

1、如果之前在nginx的配置文件里启用了 http 强制跳转到 http 的配置，这个地方也会续期失败，需要临时先将这段配置注释掉：

        # http重定向301跳转http        #if ($server_port !~ 443){        #    rewrite ^(.*)$ $host$1 permanent;        #}

原因很简单，现在http已经过期了，再强制跳转到http去验证下面的文件，当然是不成功的。

 

2、如果你有PC站和移动站自动跳转适配过，也需要注意临时取消自动跳转，比如 移动端的配置：

        # PC客户端跳转        if ($http_user_agent !~* (mobile|nokia|iphone|ipad|android|samsung|htc|blackberry)) {            #rewrite ^(.*) tai.test$1 redirect;        }

否则验证文件会跳转到对应的PC端路径下去拉取，这个当然是错误的。

 

3、频率限制错误

new-authz error: {"type":"urn:acme:error:rateLimited","detail":"Error creating new authz :: too many failed authorizations recently: see letsencrypt.org/docs/rate-limits/","status": 429} 

这个是说明触发了SSL认证的频率限制了，目前有一个限制是：每个账户每小时每域名有最多验证失败 5 次的限制。我们稍微等一会就好了。关于这个频率限制，具体参考： letsencrypt.org/docs/rate-limits/

免责声明：本文内容来自用户上传并发布，站点仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。请核实广告和内容真实性，谨慎使用。