标签: lets-encrypt

Let's Encrypt 刚刚发布了他们的公开测试版，这很棒。

我使用 Nginx 作为网络服务器，我知道到目前为止 Let's Encrypt 仅通过插件支持 Nginx。

现在的问题是： 我不太确定应该如何安装和使用该插件。

我一直在尝试使用此命令运行它，参考他们的文档：

./letsencrypt-auto certonly --standalone -d example.com -d www.example.com

并将 --standalone 更改为 nginx ofc

无论我如何尝试，结果答案始终相同：

$ The requested nginx plugin does not appear to be installed

任何想法如何使 nginx 和 Let's Encrypt 一起工作？

干杯!

我按照本教程在我的服务器上启用 Let's Encrypt，但是我现在想删除/禁用它：

https://www.digitalocean.com/community/tutorials/how-to-secure-nginx-with-let-s-encrypt-on-ubuntu-14-04

我怎样才能做到这一点？

我在为在两个不同服务器上设置的几个网站设置 Let's Encrypt 时遇到一些问题，并通过 HAProxy 将流量分配给它们。

服务器上有许多 VHosts/域，所有这些都需要 SSL 证书。为了这篇文章，让我们说他们是：

1. foo.some-site.com
2. bar.some-site.com

这两个 A 记录都设置有两个 IP 地址。我可以通过 nwtools.com 或 nslookup 验证 A 记录foo.some-site.com和bar.some-site.com解析相同的两个 IP 地址。而且我知道 Let's Encrypt 要求 vhost 使用有效记录，以便它可以进行查找。

我计划在两台服务器上为所有虚拟主机运行 Lets Encrypt 设置，其中一台运行良好，但是当我转到第二台时，出现错误：

[root@server httpd]# /opt/letsencrypt/letsencrypt-auto --apache -d foo.some-site.com
Checking for new version...
Requesting root privileges to run letsencrypt...
   /root/.local/share/letsencrypt/bin/letsencrypt --apache -d foo.some-site.com
Failed authorization procedure. foo.some-site.com (tls-sni-01): urn:acme:error:connection :: The server could not connect to the client to verify the domain :: Failed to …

我正在尝试使用手册应用程序向Letsencrypt注册我的域，但我遇到了这个问题：

urn:acme:error:connection

这是我运行它的方式：

? manuale authorize home.waynewerner.com waynewerner.com
Requesting challenge for home.waynewerner.com.
Requesting challenge for waynewerner.com.
DNS verification required. Make sure these TXT records are in place:
  _acme-challenge.waynewerner.com.  IN TXT  "<Some key>"
  _acme-challenge.home.waynewerner.com.  IN TXT  "<some other key>"

所以我登录了我的 namecheap 仪表板，并在我的主机记录中添加了两个新的 TXT 记录。在主机领域，我尝试了两种方式，使用@和home和使用_acme-challenge.waynewerner.com和_acme-challenge.home.waynewerner.com。然后包含<Some key>和<some other key>（不带引号）的值字段。

然而我仍然得到：

home.waynewerner.com: waiting for verification. Checking in 5 seconds.
home.waynewerner.com: DNS problem: NXDOMAIN looking up TXT for _acme-challenge.home.waynewerner.com …

我的 Synology NAS 能够通过 HTTPS 运行 Web 界面。mynas默认情况下，您可以通过名称（例如）、sohttp(s)://myname:5001或访问 NAS http(s)://myname.local。它默认为synology.com.

您可以使用 Let's Encrypt 创建新的证书；您将所需的端口从路由器转发到 NAS，我从我拥有的域创建了一个子域，并更新了 DNS 以指向我的家庭 IP。（例如home.my-domain-i-own.com）

我希望我可以输入myname;myname.local主题备用名称，这样我就可以在没有警告的情况下通过 HTTPS 在内部浏览我的 NAS。但是，显然，Let's Encrypt 不接受它无法验证的域名。

我的问题：如何解决我可以在我的域中使用 Let's Encrypt 证书而mynas.local没有任何警告的问题？

我正在使用 Let's Encrypt 来保护 Ubuntu 上的 Apache 安装。我最近设置了一个部署挂钩脚本以在续订时运行，我正在certbot renew使用该--deploy-hook选项在 cron 作业中传递给它。

在设置后的第一次更新时，我注意到部署钩子脚本没有运行。深入研究日志，我发现certbot renew实际执行更新的调用并未使用--deploy-hook参数调用。

我还看到它certbot renew每天被调用 3 次，而我的 cron 作业只设置为每天运行一次。这三个调用之一恰好在 cron 作业中指定的时间，并且--deploy-hook提供了参数。另外两个时间是大约 00:30 和大约 12:45，但确切的时间每天都有几分钟的变化。--deploy-hook其他调用不提供该参数。

那么：certbot renew除了我的 cron 工作之外，到底在运行什么？我确认只有root一个crontab, 并且它只包含单个作业定义。

我一直在尝试在 Google Cloud 上测试 Kubernetes，但需要在部署的应用程序上公开 HTTPS/TLS（仅）。首先，我只是按照本教程进行操作，该教程适用于端口 80 上的普通 HTTP：https : //cloud.google.com/kubernetes-engine/docs/quickstart

为了使用Let's Encrypt获得 TLS 支持，我尝试过（但没有成功）：

• 通过 Golang 应用程序本身提供服务时出现“CIPHER MISMATCH”错误（然后只是为节点集群做一个通用的 TCP 负载均衡器）...... https://godoc.org/golang.org/x/crypto/acme/自动认证
• 此方法也不起作用：https : //github.com/ahmetb/gke-letsencrypt

... 有没有人对如何为原始教程只提供 HTTPS 有任何建议？除非它是免费赠品，否则不需要普通的 HTTP，但我真的在这个问题上摸不着头脑，因为我之前没有使用过 Kubernetes，而且我根本无法让 Let's Encrypt 在这里工作。

我在example.com域下运行服务器，并且我有子域，例如：

• a.example.com
• b.example.com

我正在使用zerossl在线工具从 Let's Encrypt 创建证书，但我遇到了问题。当我使用通配符作为*.example.com生成证书并将其应用于服务器时，所有子域都很好，而根域带有www。前缀也不错。

唯一的故障是关于https://example.com，因为它不包含在通配符模式 (*.example.com) 中。

在像这样的其他一些帖子中，建议使用*.example.com/CN=mexample.com但zerossl在线工具不支持其网页中的“/”字符。

是否有任何解决方法可以解决此问题？

我无法解决以下问题。使用 openssl 验证服务器的证书失败，链不完整。

免责声明：我不是管理员，也没有太多使用证书的工作。

使用 OpenSSL 验证

$ openssl verify -CAfile /etc/letsencrypt/live/co2-avatar.com/fullchain.pem  /etc/letsencrypt/live/co2-avatar.com/cert.pem

# /etc/letsencrypt/live/co2-avatar.com/cert.pem: C = US, O = Internet Security Research Group, CN = ISRG Root X1
# error 2 at 2 depth lookup:unable to get issuer certificate

检查证书中的域之一

openssl s_client -connect co2avatar.org:443 -servername co2avatar.org
# CONNECTED(00000003)
# depth=0 CN = gitlab.sustainable-data-platform.org
# verify error:num=20:unable to get local issuer certificate
# verify return:1
# depth=0 CN = gitlab.sustainable-data-platform.org
# verify error:num=21:unable to verify the first certificate
# …

我有一个响应域的服务器，例如a.b.c.example.com. a b并且c 是动态部分，我想用一个 SSL 证书覆盖它们。

我在这里为*.example.com. 但现在我有错误ERR_CERT_COMMON_NAME_INVALID。

同时c.example.com运作良好。

我可以以某种方式为多个嵌套子域颁发证书吗？