Axis笔记

外观

3.1 证书申请

约 430 字

HTTPS证书

本页对应「三、操作步骤」的 3.1，完成证书申请。返回上级：HTTPS 证书申请与续期操作指南。

前置条件

  • 域名解析已生效，example.com 与 www.example.com 均指向 203.0.113.10。
  • 80 端口可从公网访问，Nginx 站点已启用。
  • 已准备可长期接收邮件的运维邮箱，用于到期提醒。

操作步骤

  1. 安装 ACME 客户端与 Nginx 插件。
sudo apt update
sudo apt -y install certbot python3-certbot-nginx
certbot --version
  1. 放行验证路径，确认 webroot 可被外部访问。
sudo mkdir -p /srv/axis/www/.well-known/acme-challenge
sudo chown -R www-data:www-data /srv/axis/www/.well-known
echo ok | sudo tee /srv/axis/www/.well-known/acme-challenge/test
curl -sS http://example.com/.well-known/acme-challenge/test
  1. 申请证书，同时包含主域与 www。首次调试可加 --staging，通过后再去掉。
sudo certbot certonly --webroot -w /srv/axis/www \
  -d example.com -d www.example.com \
  --email ops@example.com --agree-tos --no-eff-email
  1. 查看签发结果与文件路径。
sudo certbot certificates
sudo ls -l /etc/letsencrypt/live/example.com/
  1. 记录到期时间并写入运维台账。
sudo openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -noout -enddate
sudo openssl x509 -in /etc/letsencrypt/live/example.com/fullchain.pem -noout -subject

结果确认

  • certbot certificates 显示 VALID，Domains 覆盖两个域名。
  • live 目录下存在 fullchain.pem、privkey.pem、chain.pem、cert.pem 四个软链。
  • curl -sS http://example.com/.well-known/acme-challenge/test 返回 ok。
  • 到期时间与 90 天周期相符，subject 中的 CN 与主域一致。

注意事项

  • 申请时提供的邮箱用于到期提醒，必须是可长期接收的运维邮箱。
  • 同一域名 7 天内重复签发会触发限流，调试阶段先用 --staging 环境。
  • 不要手工删除 /etc/letsencrypt/archive 中的历史文件，会破坏 live 下的软链。
  • 验证文件用完即删，避免在站点根目录留下测试路径。