如何使用 Nginx 和 Certbot 创建一个安全的 Web 服务器-51CTO.COM

https 应用越来越普遍，现在大多数 web 服务器都使用了 https。

Let's Encrypt 项目可以让我们免费部署 SSL 证书，但是需要每隔几个月更新一次。

Certbot 又帮助我们省去了这个麻烦，它可以自动部署新证书和续订现有证书。

我们可以使用 certbot 和 nginx 来部署一个基于 https 的 web 服务器。今天我们就来介绍一下这方面相关的内容，主要包括：

安装 Nginx；
Nginx 配置；
安装和使用 certbot。

我们首先来看一下安装 nginx。

1，安装 nginx（以 Ubuntu 系统为例）

在 Ubuntu 中可以使用如下命令安装 nginx：

sudo apt install nginx

安装完成后，检查一下是否安装成功，可以使用查看 nginx 版本的命令，如下：

nginx -v

启动以及设置 nginx 自启动，可以使用如下命令：

sudo systemctl start nginx && sudo systemctl enable nginx

然后配置防火墙（Ubuntu 中使用的 UFW），使 nginx 可以通过防火墙：

sudo ufw allow 'nginx full'

2，配置 nginx

配置 nginx 中的server模块，首先创建一个文件夹，用于存放 web 服务的页面文件，如下所示：

sudo mkdir -p /var/www/sudoersagar.de/html

注：上述命令中sudoersagar.de为示例域名，大家可按自己的需求命名文件夹。

接下来，使用 chown 命令将目录的所有者更新为当前用户：

sudo chown -R $USER:$USER /var/www/sudoersagar.de/html

然后使用 chmod 命令更改目录的权限：

sudo chmod -R 755 /var/www/sudoersagar.de

再然后，我们创建一个简单的 html 页面：

vim /var/www/sudoersagar.de/html/index.html

编辑如下内容：

<html>
    <head>
        <title>Greetings from Sagar Sharma</title>
    </head>
    <body>
        <h1>Success!  The sudoersagar server block is working!</h1>
    </body>
</html>

保存然后退出文本编辑器。

接下来，创建一个名为 sites-enabled 的文件夹：

sudo mkdir /etc/nginx/sites-enabled

然后创建一个简单的 nginx 服务器模块：

vim /etc/nginx/sites-available/sudoersagar.de

内容如下：

server {
        listen 80;
        root /var/www/sudoersagar.de/html;
        index index.html;
        server_name sudoersagar.de www.sudoersagar.de;
        location / {
                try_files $uri $uri/ =404;
        }
}

至于上述文件的用途，可参考下图所示：

要使网站能够访问，还需要创建一个从 sites-available 到 sites-enabled 的软连接，如下所示：

sudo ln -s /etc/nginx/sites-available/sudoersagar.de /etc/nginx/sites-enabled/

然后使用如下命令测试：

sudo nginx -t

然后重启 nginx：

sudo nginx -s reload

3，创建 DNS A 记录

通过 DNS A 记录，可以使用 nginx 公共 IP 地址映射域。对于大多数供应商来说，这个过程非常简单。在这里，我使用的是谷歌域名：

选择：

Type 选择 A；
TTL（Time To Live）选择 300
在 data 属性中添加公网 IP 地址；
www 主机名执行相同的选项。

保存设置。上述设置起作用，需要几分钟的时间。

然后使用 dig 命令来检查域名：

dig sudoersagar.de

如果它已启动并正在运行，它将显示在域中使用的 IP 地址。

4，设置 certbot

接下来我们使用 snaps（Canonical开发的包管理器）来设置 certbot。

第一步是删除 Ubuntu 系统中已有的 certbot 包：

sudo apt remove certbot

但是如果你使用的是 Ubuntu 以外的其他软件，则需要手动配置 snaps，可参照如下手册：

https://itsfoss.com/install-snap-linux/?ref=linux-handbook

安装完成后，使用以下命令安装 certbot：

sudo snap install --classic certbot

最后，创建一个指向certbot目录的符号链接:

sudo ln -s /snap/bin/certbot /usr/bin/certbot

检查安装：

certbot --version

5，安装 certificates

每周最多可以申请 50 个证书，因此在初始安装测试阶段，可以使用测试证书。

安装测试证书，可使用如下命令：

sudo certbot --nginx --test-cert

执行上述命令，会要求键入如下问题：

1）输入电子邮件地址以接收系统消息；

2）使用提供的链接地址下载使用条款文件（pdf），如果统一，按 Y 键并回车；

3）订阅邮件列表是可选的，你可以通过该列表接收时事通讯；

4）它将列出请求的可用域名。你可以手动选择一个或两个。如果你想要列出的每个域的证书，请将其留空，然后点击回车键。

如果一切顺利，没有发生错误，那么可以继续安装正式证书：

sudo certbot --nginx

要求确认的问题跟测试证书差不多，除了会多出一个不同的问题：

由于我们已经安装了测试证书，因此有两个选择：

1）重新安装现有证书（在本例中是测试证书）；

2）续订和更换证书。

执行第二种情况，如下图：

这样就完成了，可以使用 https 访问网站了：

Certbot 计划每12小时运行一次，如果现有证书过期，它将续订证书。您可以使用以下方法检查时间：

systemctl list-timers

如果要手动更新，可使用如下命令：

sudo certbot renew