Certbot + Nginx: SSL 证书自动更新失败排查与解决

网站设计 |

在当今的互联网环境中，HTTPS 已成为网站安全的标配。为了确保网站始终受到保护，SSL/TLS 证书的定期更新至关重要。Certbot 是一个流行的工具，可以帮助我们自动获取和更新 Let’s Encrypt 的免费证书。然而，有时我们会遇到 SSL 证书自动更新失败的问题，导致网站出现安全警告或无法访问。本文将结合 Nginx 和 Certbot 的实际案例，探讨如何排查和解决 SSL 证书自动更新的问题，确保网站的安全性和可用性。

常见问题及原因

  1. 证书续订失败： Certbot 无法成功续订证书，导致证书过期。
    • 原因：
      • 域名解析问题：域名无法正确解析到服务器 IP 地址。
      • 网络连接问题：服务器无法连接到 Let’s Encrypt 服务器。
      • Certbot 配置错误：Certbot 无法验证域名所有权。
      • 证书续订限制：Let’s Encrypt 的速率限制。
  2. Nginx 未重新加载： 证书已成功续订，但 Nginx 没有重新加载配置，导致网站仍然使用旧证书。
    • 原因：
      • Certbot 未配置 post-hook：Certbot 续订后未执行 Nginx 重载命令。
      • Nginx 配置错误：Nginx 配置文件有语法错误，导致重载失败。
      • 权限问题：执行 Nginx 重载命令的用户权限不足。
      • Systemd 时序问题：Certbot 服务在 Nginx 服务启动之前尝试重载。
  3. 配置过时： Nginx 配置中使用了过时的 ssl 指令，导致告警。

解决方案

1. 证书续订失败的排查与解决

  • 检查域名解析：
    • 使用 ping 或 nslookup 命令检查域名是否解析到正确的服务器 IP 地址。
    • 如果域名解析有问题，请及时修正 DNS 设置。
  • 检查网络连接：
    • 使用 ping 或 traceroute 命令检查服务器是否可以连接到互联网以及 Let’s Encrypt 服务器。
    • 如果网络连接有问题，请检查服务器的网络配置和防火墙设置。
  • 检查 Certbot 配置：
    • 使用 sudo certbot certificates 命令查看当前证书信息，确保域名正确。
    • 使用 sudo certbot renew –dry-run 命令进行模拟续订，查看是否报错。
    • 如果出现错误，请仔细检查 Certbot 的配置，包括域名、验证方式、存储路径等。
    • 如果遇到 Let’s Encrypt 速率限制，请等待一段时间后再尝试。

2. Nginx 未重新加载的排查与解决

  • 配置 Certbot post-hook：
    • 编辑 Certbot 服务文件 sudo systemctl edit certbot.service
    • 修改 ExecStart 行，添加 –post-hook “systemctl reload nginx”： ExecStart=/usr/bin/certbot -q renew --no-random-sleep-on-renew --post-hook "systemctl reload nginx"
    • 使用 Ctrl+X, 然后 Y (或 enter) 保存更改。
    • 运行 sudo systemctl daemon-reload 应用更改。
    • 运行 sudo systemctl restart certbot.timer 并使用 sudo systemctl start certbot.timer 来启动或重启服务。
  • 检查 Nginx 配置：
    • 使用 sudo nginx -t 命令测试 Nginx 配置，确保没有语法错误。
    • 如果存在错误，请根据错误提示修改配置文件。
  • 检查用户权限：
    • 确保 Certbot 运行的用户（通常是 root 用户）有权限执行 systemctl reload nginx 命令。
  • 调整 Systemd 时序 (一般不需要)：
  • 如果需要，可以使用 Requires 和 After 选项来确保 Nginx 服务在 Certbot 服务之前启动。

3. 解决过时的 “ssl” 指令告警

  • 编辑 Nginx 配置文件：
    • 使用 sudo nano /etc/nginx/sites-enabled/<你的网站配置文件> 打开你的网站配置文件 (例如 /etc/nginx/sites-enabled/yahoo.co.jp)。
  • 修改 ssl on; 为 listen 443 ssl;:
  • 将旧的 ssl on; 行替换为 listen 443 ssl; server { listen 443 ssl; #修改此处 ssl_certificate /path/to/your/certificate.crt; ssl_certificate_key /path/to/your/private.key; ... other configurations ... }
  • 保存配置文件 (Ctrl + O, then Enter 键), 并退出(Ctrl+X).
  • 测试配置: 使用 sudo nginx -t 测试配置，确保无误
  • 重新加载 Nginx: sudo systemctl reload nginx

实战演练

为了更好地理解以上步骤，我们以一个实际案例进行演示：

  1. 假设： 您的网站域名为 example.com，Nginx 配置文件为 /etc/nginx/sites-enabled/example。
  2. 检查域名解析： ping example.com，确保解析到正确的服务器 IP 地址。
  3. 检查网络连接： ping letsencrypt.org，确保服务器可以连接到 Let’s Encrypt 服务器。
  4. 检查证书信息： sudo certbot certificates，确保证书信息正确。
  5. 模拟续订证书： sudo certbot renew –dry-run，查看是否有错误。
  6. 配置 post-hook:
  • 执行 sudo systemctl edit certbot.service
  • 修改 ExecStart 行，添加 –post-hook “systemctl reload nginx”：
  • ExecStart=/usr/bin/certbot -q renew --no-random-sleep-on-renew --post-hook "systemctl reload nginx" 
*   使用 `Ctrl+X`, 然后 `Y` (或 enter) 保存更改。
*   运行 `sudo systemctl daemon-reload` 应用更改。
*   运行 `sudo systemctl restart certbot.timer` 并使用 `sudo systemctl start certbot.timer` 来启动或重启服务。
  1. 修改 ssl on; 为 listen 443 ssl;:
  • sudo nano /etc/nginx/sites-enabled/example 打开你的网站配置文件
  • 将旧的 ssl on; 行替换为 listen 443 ssl;
  1. 测试 Nginx 配置： sudo nginx -t，确保没有语法错误。
  2. 重新加载 Nginx： sudo systemctl reload nginx

总结

SSL 证书自动更新失败是一个常见的问题，但通过仔细排查和合理配置，我们可以有效地解决这些问题。本文介绍了常见的错误原因和对应的解决方案，希望能帮助您确保网站的 SSL 证书始终保持最新，为用户提供安全的访问体验。

额外提示

  • 定期监控： 定期检查 Nginx 日志，及时发现问题并进行处理。
  • 使用工具： 使用 SSL 检查工具，如 SSL Labs，查看网站的 SSL 配置和证书信息。
  • 备份配置： 在修改配置文件之前，务必备份，以便出现问题时能够及时恢复。

希望这篇文章能够帮助您更好地处理 SSL 证书自动更新的问题。如有其他问题，请随时提出。

Related Posts

滚动至顶部