nginx - 如何在 nginx 服务器上干净地处理 letsencrypt 的第一次使用？

Question

我使用 letsencrypt/certbot 来管理 nginx 使用的证书。我发现，在设置服务器时，我遇到了先有鸡还是先有蛋的情况:nginx 必须工作以提供 .well-known/acme-challenge 目录，但如果配置了 ssl 证书，nginx 会拒绝启动尚不存在。

到目前为止，我已经通过从 nginx 服务器 block 手动编辑 ssl、启动它、第一次运行 certbot，然后恢复更改来解决这个问题。我想知道是否有更清洁的方法。

(目前我正在使用 webroot 身份验证方法，但我并没有与它结婚。这里的目标是想出一个在初始设置期间做正确事情的单一配置)

Answer 1

因为您知道证书的最终名称和目的地，您可以生成一个自签名证书，让 nginx 运行，然后运行 ​​certbot 并将自签名证书替换为正确的证书。 ACME 质询应通过 HTTP 解决。

生成自签名证书的代码。不要担心太多，除了 keyout 和 out 参数。

openssl req -x509 -nodes -days 365 -newkey rsa:4096 \
    -subj "/C=UK/ST=England/L=London/CN=www.example.com" \
    -keyout "/path/to/your/key.cer" \
    -out "/path/to/your/certificate.cer"

您可以完全编写脚本，这样您就不会头疼了。