Linux如何申请SSL免费证书_Linux下Certbot安装与Nginx自动续期【指南】

发布日期： 2025-12-31 阅读量： 作者： 裘德小鎮的故事

可通过Certbot从Let’s Encrypt免费获取并自动部署SSL证书：先安装Certbot及Nginx插件，再验证Nginx与DNS配置，接着执行sudo certbot --nginx申请证书并重定向HTTP到HTTPS，最后测试自动续期并确认证书路径与Nginx配置已更新。

如果您希望在Linux服务器上为Nginx站点启用HTTPS，但尚未配置SSL证书，则可通过Certbot工具从Let’s Encrypt免费获取并自动部署证书。以下是完成证书申请、安装Certbot及配置Nginx自动续期的具体操作步骤：

一、安装Certbot及Nginx插件

Certbot是Let’s Encrypt官方推荐的ACME客户端，其Nginx插件可自动修改配置并重载服务，避免手动干预Nginx配置文件。需确保系统已启用EPEL（CentOS/RHEL）或具备snap支持（Ubuntu/Debian较新版本）。

1、对于Ubuntu 20.04及以上版本，运行：sudo apt update && sudo apt install certbot python3-certbot-nginx

2、对于CentOS 8/RHEL 8，先启用EPEL源后执行：sudo dnf install epel-release && sudo dnf install certbot python3-certbot-nginx

3、对于未预装snap的旧版系统（如Ubuntu 18.04），可改用snap安装：sudo snap install --classic certbot && sudo ln -s /snap/bin/certbot /usr/bin/certbot

在申请证书前，Certbot需通过HTTP-01挑战验证您对域名的控制权。这要求Nginx已正确监听80端口，且目标域名A记录已解析至当前服务器IP，并能被公网访问。

1、检查Nginx是否运行：sudo systemctl is-active nginx

2、确认站点server块中包含有效server_name，例如：server_name example.com www.example.com;

3、使用dig命令验证DNS解析：dig +short example.com A，输出应为当前服务器公网IP

Certbot的--nginx模式会自动检测Nginx配置、插入SSL指令、更新证书路径，并重载服务，全程无需手动编辑conf文件。

1、执行交互式申请命令：sudo certbot --nginx -d example.com -d www.example.com

2、按提示输入邮箱地址用于紧急通知（非强制但建议填写）

3、选择是否将HTTP请求自动重定向到HTTPS：2: Redirect - Make all requests redirect to secure HTTPS access

Let’s Encrypt证书有效期为90天，Certbot默认配置了systemd timer或cron任务定期执行续期检查。手动运行可验证流程是否就绪，避免到期失效。

1、模拟续期过程（不实际更新）：sudo certbot renew --dry-run

2、若返回“Congratulations, all simulated renewals succeeded”，说明配置正常

3、查看系统级定时任务是否存在：sudo systemctl list-timers | grep certbot（systemd环境）或sudo crontab -l | grep certbot（cron环境）

成功部署后，Certbot将证书文件存于/etc/letsencrypt/live/目录下，并自动更新Nginx server块中的ssl_certificate与ssl_certificate_key指令，指向对应符号链接。

1、确认证书路径有效性：sudo ls -l /etc/letsencrypt/live/example.com/，应包含fullchain.pem与privkey.pem

2、检查Nginx配置是否已注入SSL参数：sudo nginx -T 2>/dev/null | grep -A5 "ssl_certificate"

3、验证HTTPS响应头：curl -I https://example.com，响应中应含HTTP/2 200及Strict-Transport-Security字段