使用 Docker CertBot 獲取 SSL 證書
本文使用「署名 4.0 國際 (CC BY 4.0)」許可協議，歡迎轉載、或重新修改使用，但需要註明來源。署名 4.0 國際 (CC BY 4.0)
本文作者: 蘇洋
統計字數: 2655字 閱讀時間: 6分鐘閱讀 本文連結:soulteary.com/2018/08/30/…
使用 Docker CertBot 獲取 SSL 證書
Let‘s Encrypt
在很久之前就開始了證書的免費申請，但是隨著 API 的升級、功能的增加，之前使用acme.sh
指令碼就能夠輕鬆獲取證書的操作，變得越來越麻煩，而且隨著配置項越來越多，瀏覽文件很難快速瞭解到什麼才是當前的最佳實踐。
原來的方案
在更新伺服器作業系統之後，原本一直使用的acme.sh
出現了問題：讀取不到我配置的 DNS 賬戶名稱，不管我是否直接將賬號寫入了執行指令碼中。考慮到未來這套證書獲取客戶端還存在升級的情況，繼續修改它顯然不是一個理智的選擇。
使用官方推薦的客戶端
雖然我使用的 Traefik 支援自動申請證書，但是一來我希望有更多的配置項，比如加密方案的選擇、比如證書單獨儲存以備複用。
二來在檢視官方文件之後，發現官方推薦了一套名為certbot
的客戶端，並提供了Docker
映象，官方文件。
在翻閱文件之後，我們發現客戶端使用很簡單，只需要2條命令，幾個輸入確認就可以了。看起來還不錯，那麼試試看吧。
DNS 模式獲取證書
為了保證解耦，個人使用無侵入的 DNS 模式，其實使用網站根目錄放置驗證檔案也是一樣的。
官方提供了十幾種主流的 DNS 服務商的映象，還提供了示例支援你自己進行封裝 。
這裡我選擇的是cloudflare
這家服務商，所以對應的映象是certbot/dns-cloudflare
，你可以酌情修改。
因為使用 DNS 模式，需要提供 DNS 的驗證檔案（包含郵箱和私鑰），所以這裡需要先建立一個驗證檔案。
mkdir -p /data/letsencrypt/ touch /data/letsencrypt/cloudflare.ini 複製程式碼
然後在cloudflare.ini
中寫入你的資料，比如：
# Cloudflare API credentials used by Certbot dns_cloudflare_email = [email protected] dns_cloudflare_api_key = e89af204ab0e06def9c0846c202d1dec40e80 複製程式碼
之後使用 Docker 的一次性執行模式啟動一個客戶端容器即可：
docker run -it --rm --name certbot \ -v "/etc/letsencrypt:/etc/letsencrypt" \ -v "/var/lib/letsencrypt:/var/lib/letsencrypt" \ -v "/data/letsencrypt:/.secrets" \ certbot/dns-cloudflare certonly \ --dns-cloudflare-credentials /.secrets/cloudflare.ini \ --dns-cloudflare-propagation-seconds 60 \ --server https://acme-v02.api.letsencrypt.org/directory \ -d soulteary.com -d '*.soulteary.com' 複製程式碼
如果你不需要籤萬用字元證書的話，那麼可以去掉--server https://acme-v02.api.letsencrypt.org/directory
引數，另外，如果你的域名生效時間很長，可以考慮適當調大--dns-cloudflare-propagation-seconds 60
中的等待時間（單位秒）。
執行指令碼之後，會問你幾個簡單的問題，依次是選擇申請證書的驗證方式（DNS記錄、臨時驗證Web服務、網站根目錄的靜態檔案），使用者協議是否同意，詢問你的郵箱，並分享給基金會，如果你沒有使用-d
引數宣告要籤的網站域名還會詢問你網站域名是什麼。
如果一切順利，你的證書公鑰私鑰等檔案將會一家人整整齊齊的擺放在我們對映好的目錄：
/etc/letsencrypt/live 複製程式碼
通過檢視檔案目錄，可以得知，這裡存放的是最新申請到的證書的軟鏈。
lrwxrwxrwx 1 root root37 Aug 30 12:49 cert.pem -> ../../archive/soulteary.com/cert1.pem lrwxrwxrwx 1 root root38 Aug 30 12:49 chain.pem -> ../../archive/soulteary.com/chain1.pem lrwxrwxrwx 1 root root42 Aug 30 12:49 fullchain.pem -> ../../archive/soulteary.com/fullchain1.pem lrwxrwxrwx 1 root root40 Aug 30 12:49 privkey.pem -> ../../archive/soulteary.com/privkey1.pem 複製程式碼
所以你大可不必擔心你更新證書失敗，連回滾的機會都沒有的情況。
至於如何更新、續簽證書呢，答案也很簡單，上面那段docker run
申請命令，重新執行一遍即可，在輸入了域名之後，選擇[renew]
即可。
當然，客戶端也提供了免互動的方案，把docker run
映象後的引數修改為renew
即可一次性續簽所有證書。
其他
其實也沒有太大必要去調整加密演算法，除非你要刻意相容特別老的裝置，使用預設配置即可。
加上 Traefik ，或者應該說 golang 已經支援了CHACHA20_POLY1305
（文件），簽出來的證書，直接掛載到 Traefik 即可支援當前主流的所有裝置。
詳見下面的證書測試報告：
--EOF