前言

个人使用证书一般都是腾讯云或者阿里云得免费证书,但是免费证书不支持泛域名,并且一年后要重新申请再部署,如果域名较多的话,还是比较繁琐。因此,使用docker部署 acme.sh 的方式免费申请泛域名证书以及配置自动续签,保证https不会到期中断。本文的dns泛域名基于API方式,使用的是腾讯云,需要先申请腾讯云的DNS Token

一、腾讯云DNS Token申请

  1. 打开DNSPod 控制台
    腾讯云DNSPod: DNSPod

  2. 获取 DNSPod Token
    点击右上角头像,点击API密钥,选择DNSPod Token,创建 Token,如下图
    DNSPod Token获取

  3. 记住Token啊,这token忘了就只能重新创建了,以后看不到的。

二、部署 acme.sh 容器

  1. 先拉取acme.sh docker镜像
docker pull neilpang/acme.sh
  1. 创建一个目录,用于挂载acme.sh 生成的证书等文件
cd /data && mkdir acme
  1. 创建容器,可以用 docker-compose.yml 和 直接执行docker run
docker run -it -d --name acme --restart=always --net host -v /data/acme:/acme.sh -e DP_Id= 'xxxxx' -e DP_Key='xxxxx' neilpang/acme.sh daemon

这里的 DP_Id 和 DP_Key 就是上面生成的 id 和 token。至于 docker-compose.yml 如下:

version: '3'
services:
  acme-sh:
    image: neilpang/acme.sh
    container_name: acme
    restart: always
    command: daemon
    environment:
      - DP_Id="xxxxx"
      - DP_Key="xxxxx"
    volumes:
      - /data/acme:/acme.sh
    network_mode: host
  1. 检查容器
    这里其实就已经部署成功,可以使用docker命令查看容器运行
docker ps

docker运行容器

三、自签泛域名证书和自动续签

  1. 自签泛域名证书
    acme.sh 容器部署成功后,执行下面命令开始自签泛域名证书:
#需要注册邮箱
docker exec acme --register-account -m xxxxx@xx.xxx
#开始签名证书
docker exec acme --issue --dns dns_dp -d xxx.com -d *.xxx.com

这里使用的是腾讯云dns,所以 --dns后面是 dns_dp 如果使用其他的请自行查询官网
-d 后面是你想要签名证书的域名,* 表示所有的子域名。
证书生成后,会在 /data/acme 目录下生成 xxx.com 目录,里面包含生成的证书信息,部署到nginx就可以使用了

    ssl_certificate /data/acme/xxx.com_ecc/fullchain.cer;
    ssl_certificate_key /data/acme/xxx.com_ecc/xxx.com.key;
  1. 使用定时任务保证证书不会过期
    在docker 宿主机添加一条定时任务,让acme去检查证书是否过期,是否能更新证书(一般提前30天即可更新证书),如果可以就会执行证书的更新。这里可以添加一下 acme.sh 的自动更新,保证 acme是最新的版本。
自动更新 acme.sh 脚本
docker exec acme --upgrade --auto-upgrade
添加自动更新任务
10 0 * * * docker exec acme --cron > /dev/null
10 1 * * * nginx -s reload    # 重新加载nginx配置

结束语

如果是其他服务器也需要使用证书,可以通过nfs 挂载的方式,将 /data/acme 共享,需要的服务器直接挂载此目录,就不用部署多个acme.sh 服务了,在一个服务器上就行。但是,证书更新后还是需要远程重载服务器上的 nginx 配置。