1.什么是SSL和CA证书
互联网的http协议是通过明文传输的，很容易造成信息的泄漏。为了在网上实现信息安全，Netscape开发了ssl协议(https)用以保障在Internet上数据传输之安全。
CA证书顾名思义就是由CA（Certification Authority）机构发布的数字证书。要对CA证书完全理解及其作用，首先要理解SSL。SSL（security sockets layer，安全套接层）是为网络通信提供安全及数据完整性的一种安全协议。SSL3.0版本以后又被称为TLS。
SSL如何保证网络通信的安全和数据的完整性呢？就是采用了两种手段：身份认证和数据加密。首先身份认证就需要用到CA证书了，解决了”我是谁?”的问题。
证书分三种:
- 域名型https证书（DVSSL）:信任等级一般，只需验证网站的真实性便可颁发证书保护网站；
- 企业型https证书（OVSSL）:信任等级高，须要验证企业的身份，审核严格，安全性更强；
- 增强型https证书（EVSSL）:信任等级最高，一般用于银行证券等金融机构，审核严格，安全性最好，同时可以激活绿色网址栏
2.SSL协议的建立和传输
需要理解SSL的加密机制，在使用SSL的网络通讯过程中，消息在请求和响应中都是加密传送的。首先要知道加密算法分为两种：对称加密和非对称加密。对称加密就是发送双发使用相同的密钥对消息进行加解密，常见的对称加密为DES、3DES,AES等。非对称加密是发送双方各自拥有一对公钥私钥，其中公钥是公开的，私钥是保密的。当发送方向接收方发送消息时，发送方利用接收方的公钥对消息进行加密，接收方收到消息后，利用自己的私钥解密就能得到消息的明文。其中非对称加密方法有RSA、Elgamal、ECC等。由于非对称加密的速度比较慢，所以它一般用于密钥交换，双方通过公钥算法协商出一份密钥，然后通过对称加密来通信。
密钥协商过程作为一种互联网安全加密技术，原理较为复杂，枯燥而无味。这里我们用个形象的比喻，我们假设A与B通信，A是SSL客户端，B是SSL服务器端，加密后的消息放在方括号[]里，以突出明文消息的区别。双方的处理动作的说明用圆括号（）括起。
- A：我想和你安全的通话，我这里的对称加密算法有DES,RC5,密钥交换算法有RSA和DH，摘要算法有MD5和SHA。
- B：我们用DES－RSA－SHA这对组合好了。
这是我的证书，里面有我的名字和公钥，你拿去验证一下我的身份（把证书发给A）。
目前没有别的可说的了。
- A：（查看证书上B的名字是否无误，并通过手头早已有的CA的证书验证了B的证书的真实性，如果其中一项有误，发出警告并断开连接，这一步保证了B的公钥的真实性）
（产生一份秘密消息，这份秘密消息处理后将用作加密密钥，加密初始化向量（IV）和hmac的密钥。将这份秘密消息-协议中称为per_master_secret-用B的公钥加密，封装成称作ClientKeyExchange的消息。由于用了B的公钥，保证了第三方无法窃听）
我生成了一份秘密消息，并用你的公钥加密了，给你（把ClientKeyExchange发给B）
注意，下面我就要用加密的办法给你发消息了！
（将秘密消息进行处理，生成加密密钥，加密初始化向量和hmac的密钥）
[我说完了]
- B：（用自己的私钥将ClientKeyExchange中的秘密消息解密出来，然后将秘密消息进行处理，生成加密密钥，加密初始化向量和hmac的密钥，这时双方已经安全的协商出一套加密办法了）
注意，我也要开始用加密的办法给你发消息了！
[我说完了]
- A: [我的秘密是…]
- B: [其它人不会听到的…]
3.如何部署HTTPS网站
部署HTTPS网站的时候需要证书，证书由CA机构签发，大部分传统CA机构签发证书是需要收费的，这不利于推动HTTPS协议的使用。
Let’s Encrypt 也是一个CA机构，但这个CA机构是免费的！！！也就是说签发证书不需要任何费用。当然他的证书属于DVSSL。
Let’s Encrypt设计了一个ACME协议。那为什么要创建ACME协议呢，传统的CA机构是人工受理证书申请、证书更新、证书撤销，完全是手动处理的。而ACME协议规范化了证书申请、更新、撤销等流程，只要一个客户端实现了该协议的功能，通过客户端就可以向 Let’s Encrypt 申请证书，也就是说 Let’s Encrypt CA完全是自动化操作的。任何人都可以基于ACME协议实现一个客户端，官方推荐的客户端是Certbot。
4.Certbot客户端安装和命令
除非您有非常特别的要求，建议您使用您操作系统的包管理工具提供的Certbot包(参见certbot.eff.org)。如果这个包不可用，我们建议使用certbot-AUTO，它自动在您的系统上安装Certbot。Certbot客户端支持两种用于获取和安装证书的两种类型的插件：身份验证和安装程序。
份验证与certonly命令一起使用的插件，用于获取证书。身份验证验证您是否控制了请求证书的域，获得了指定域的证书，并将证书放置在计算机上的/etc/letscrypt目录中。身份验证器不安装证书(它不编辑服务器的任何配置文件以提供所获得的证书)。如果指定要进行身份验证的多个域，则所有域都将在单个证书中列出。要获得多个单独的证书，您需要多次运行Certbot。
安装程序是与install命令一起使用的插件，用于安装证书。这些插件可以修改Web服务器的配置，使certbot获得的证书通过HTTPS为您的网站提供服务。官方有支持不同web服务器的列表
比如debain以nginx为例的安装命令(其他环境参考官网)：
$ sudo apt-get install certbot python-certbot-nginx
命令说明：
不写任何子命令时，默认使用 run 命令。certbot-auto –nginx -d xx.com 等价于 certbot-auto run –nginx -d xx.com。
列表只涉及获取、安装、更新证书部分，完整的命令文档请参考官方用户手册。
- (default) run 为当前服务器获取并安装一个证书
- certonly 只获取或更新证书，不安装
- renew 更新所有快要过期的证书
- -d DOMAINS 指定要获取证书的域名，一个证书支持多个域名，用逗号分隔
- –apache 使用Apache服务器插件来认证和安装证书
- –standalone certbot 会自己运行一个 web server 来进行验证
- –nginx 使用 Nginx 服务器插件来认证和安装证书，可以读取 Nginx 配置文件并自动更改。
- –webroot 会利用既有的 web server，在其 web root目录下创建隐藏文件， Let’s Encrypt 服务端会通过域名来访问这些隐藏文件，以确认你的确拥有对应域名的控制权
- –manual 交互式获取证书，或者使用钩子脚本
- -n 非交互式运行
- –test-cert 从 staging server 获取一个测试证书
- –dry-run 测试 “renew” 和 “certonly” 命令，不保存证书到磁盘上
5.获取安装单域名证书
客户在申请Let’s Encrypt证书的时候，需要校验域名的所有权，证明操作者有权利为该域名申请证书，目前支持三种验证方式：
6.获取和安装通配符证书
对于个人用户来说，主机并不是太多，使用单域名证书(证书仅仅包含一个主机)也没什么问题，但是对于大公司来子域名非常多，而且过一段时间可能就要使用一个新的主机。注册域也非常多。Let’s Encrypt 通配符证书通配符证书就是证书中可以包含一个通配符，比如.example.com、.example.cn，这样大型企业也可以使用通配符证书了，一张证书可以防护更多的主机了。这个功能可以说非常重要，从功能上看 Let’s Encrypt和传统CA机构没有什么区别了。
而申请通配符证书，只能使用 dns-01 的方式进行验证
申请证书命令：
./certbot certonly -d *.newyingyong.cn --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory
介绍下相关参数：
- certonly，表示安装模式，Certbot 有安装模式和验证模式两种类型的插件。
- –manual 表示手动安装插件，Certbot 有很多插件，不同的插件都可以申请证书，用户可以根据需要自行选择
- -d 为那些主机申请证书，如果是通配符，输入 *.newyingyong.cn（可以替换为你自己的域名）
- –preferred-challenges dns，使用 DNS 方式校验域名所有权
- –server，Let’s Encrypt ACME v2 版本使用的服务器,不同于 v1 版本，需要显示指定
安装过程中，有两个交互式的提示：是否同意 Let’s Encrypt协议要求询问是否对域名和机器（IP）进行绑定确认同意才能继续。继续查看命令行的输出，非常关键：
-------------------------------------------------------------------------------Please deploy a DNS TXT record under the
name_acme-challenge.newyingyong.cnwiththe following value:2_8KBE_jXH8nYZ2unEViIbW52LhIqxkg6i9mcwsRvhQBefore continuing, verify the
recordisdeployed.-------------------------------------------------------------------------------Press Enter to ContinueWaitingforverification...Cleaning up challenges
要求配置 DNS TXT 记录，从而校验域名所有权，也就是判断证书申请者是否有域名的所有权。上面输出要求给 _acme-challenge.newyingyong.cn 配置一条 TXT 记录，在没有确认 TXT 记录生效之前不要回车执行。然后进入你的DNS的提供方网站，增加txt记录，值为：2_8KBE_jXH8nYZ2unEViIbW52LhIqxkg6i9mcwsRvhQ
然后输入下列命令确认 TXT 记录是否生效：
$ sudo apt-get install dnsutils $debian 安装dig工具
$ dig -t txt _acme-challenge.newyingyong.cn @8.8.8.8
确认生效后，回车执行。恭喜您，证书申请成功，证书和密钥保存在下列目录：/etc/letsencrypt/live/newyingyong.cn
注意:之前设置了一个CNAME域名，执行后会发生错误：Detail: CAA record for *.xxx.xxx prevents issuance的错误提示，删除CNAME记录就可以了。
最后校验证书信息，输入如下命令：
openssl x509 -in /etc/letsencrypt/liev/newyingyong.cn/cert1.pem -noout -text
关键输出如下：X509v3SubjectAlternativeName:DNS:*.newyingyong.cn完美，证书包含了扩展的值就是 *.newyingyong.cn
openssl的使用可以参考openssl用法详解
修改nginx配置文件（/etc/nginx/nginx.conf）。
最后将域名配置成https访问
server {
listen 443 ssl http2;
listen [::]:443 ssl http2 ;
server_name maomao.run;
ssl on;
ssl_certificate /etc/letsencrypt/live/newyingyong.cn/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/newyingyong.cn/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_session_cache shared:SSL:1m;
ssl_session_timeout 10m;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
location / {
proxy_pass http://127.0.0.1:8001;
}
}
将80端口重定向到443端口。用户无论如何输入域名，都将使用https访问。
server {
listen 80;
listen [::]:80;
server_name maomao.run;
rewrite ^(.*)$ https://${server_name}$1 permanent;
}
设置后重启nginx，可以在SSL Labs输入域名进行验证测试。
7.证书的自动更新
证书有效期只有三个月，所以更新域名非常关键。更新操作其实和初次申请差不多，只是命令不同，参数都一样。所以智能的 Certbot 在初次申请完成以后就把所有参数都保存下来，方便更新的时候使用。更新的参数保存在 /etc/letsencrypt/renewal/newyingyong.cn。
既然参数都还在，那更新证书只需要一条简单的命令就可以了：
Linux 的定时任务有两种方法：cron 和 systemd/timers，任何一种都能实现定时的更新任务，可爱的 Certbot 两种都设置了，我们分别看看。
*cron
$ vim /etc/cron.d/certbot
打开文件可以看到 Certbot 设定的任务记录,如果使用Timers方式，则将这条规则注释到。
*Timers
Certbot 在 /lib/systemd/system/ 下生成了两个文件：certbot.service 和 certbot.timer，一个是服务，一个是定时器。
certbot.service:
[Unit]
Description=Certbot
Documentation=file:///usr/share/doc/python-certbot-doc/html/index.html
Documentation=https://letsencrypt.readthedocs.io/en/latest/
[Service]
Type=oneshot
ExecStart=/usr/bin/certbot -q renew
PrivateTmp=true
可以看到也是运行 certbot -q renew 命令。
certbot.timer:
[Unit]
Description=Run certbot twice daily
[Timer]
OnCalendar=*-*-* 00,12:00:00
RandomizedDelaySec=43200
Persistent=true
[Install]
WantedBy=timers.target
每天 0 点和 12 点激活 certbot.service。其实不需要这么频繁的更新证书，而且在更新证书的时候我们加了钩子来关闭和开启 Nginx 服务，所以最好是在凌晨没人访问网站的时候更新证书，我们稍微修改一下：
[Unit]
Description=Run certbot every 05:00
[Timer]
OnCalendar=*-*-* 05:00:00
Persistent=true
[Install]
WantedBy=timers.target
保存修改以后需要重启定时器：
$ systemctl daemon-reload
$ systemctl restart certbot.timer
至此就算大功告成了！
参考1：certbot User Guide
参考2：https://www.jianshu.com/p/da6803c5ab57
参考3：理解服务器证书 CA&SSL
参考4：在CentOS7上使用Certbot申请Wildcard证书
参考5：Nginx 实现 HTTPS（基于 Let’s Encrypt 的免费证书）