1. 系统环境#

• CentOS 7 / 8（其他 Linux 发行版类似）
• 已安装 Nginx
• 域名 DNS 托管在以下任意平台：
  • 阿里云 DNS
  • Cloudflare DNS

两种 DNS 服务商的配置不用一起做，按实际情况选择即可。

2. 确保 80 / 443 端口可用#

ss -ltnp | grep -E ':80|:443'

下载并安装 acme.sh#

先把源码包下载到服务器：

cd /root
curl -L -o acme.sh.tar.gz https://github.com/acmesh-official/acme.sh/archive/refs/heads/master.tar.gz
ls -lh acme.sh.tar.gz

解压后安装：

tar -xzf acme.sh.tar.gz
cd acme.sh-master
./acme.sh --install --home /root/.acme.sh

创建全局命令链接：

ln -s /root/.acme.sh/acme.sh /usr/local/bin/acme.sh

验证是否安装成功#

ls -la /root/.acme.sh | head
ls -la /root/.acme.sh/dnsapi | head
acme.sh --version

检查命令输出，确认以下三点：

• /root/.acme.sh/acme.sh 存在
• /root/.acme.sh/dnsapi/ 存在（里面会有很多 dns_*.sh，包括 dns_ali.sh）
• 能输出版本号

自动续期与定时任务#

安装时，acme.sh 会自动创建 cron 任务。它每天检查一次证书有效期，在需要时续期；

如果配置了 reload 命令，续期后也会一并执行。

用下面的命令查看 cron 任务：

crontab -l

任务大致如下：

52 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null

这条任务每天运行一次，平时不需要手动续期。

设置默认 CA 为 Let’s Encrypt

为了避免默认 CA 与预期不一致，我习惯显式设置为 Let’s Encrypt：

acme.sh --set-default-ca --server letsencrypt

方案一：阿里云 DNS#

export Ali_Key="你的AccessKeyID"
export Ali_Secret="你的AccessKeySecret"

方案二：Cloudflare DNS#

export CF_Token="你的 Cloudflare API Token"
export CF_Zone_ID="你的区域 ID"

阿里云 DNS#

acme.sh --issue \
  --dns dns_ali \
  -d xhwen.cn \
  -d '*.xhwen.cn'

这里的 --dns dns_ali 表示使用阿里云 DNS API。

Cloudflare DNS#

acme.sh --issue \
  --dns dns_cf \
  -d xhwen.cn \
  -d '*.xhwen.cn'

Cloudflare 对应的参数是 --dns dns_cf。无论使用哪家 DNS，acme.sh 都会自动创建 TXT 记录，验证完成后再将其删除。

确认签发结果#

签发成功时，输出会包含下面这些证书路径：

Your cert is in: /root/.acme.sh/xhwen.cn/xhwen.cn.cer
Your key is in: /root/.acme.sh/xhwen.cn/xhwen.cn.key
The intermediate CA cert is in: /root/.acme.sh/xhwen.cn/ca.cer
And the full chain certs is there: /root/.acme.sh/xhwen.cn/fullchain.cer

确认没有 error 或 failed 后，就可以部署到 Nginx。

查看当前已签发的证书#

acme.sh --list

列表中会有类似记录：

Main_Domain: xhwen.cn
SAN_Domains: *.xhwen.cn

主域名和 *.xhwen.cn 都在列表中，说明证书已经签发。

创建 Nginx 证书目录#

mkdir -p /etc/nginx/ssl/xhwen.cn

推荐目录结构：

/etc/nginx/ssl/
└── xhwen.cn/
    ├── fullchain.pem
    └── privkey.pem

使用 acme.sh 安装证书#

我这里签发的是 ECC 证书，所以安装时要带上 --ecc 参数。

acme.sh --install-cert \
  -d xhwen.cn \
  --ecc \
  --key-file       /etc/nginx/ssl/xhwen.cn/privkey.pem \
  --fullchain-file /etc/nginx/ssl/xhwen.cn/fullchain.pem \
  --reloadcmd     "nginx -s reload"

--reloadcmd 会保存续期后的回调命令。以后证书续期成功，acme.sh 会自动执行 nginx -s reload，Nginx 不需要停机。

先强制续期一次，顺便确认回调能正常执行：

acme.sh --renew -d xhwen.cn --ecc --force

输出中应该能看到：

Reloading nginx

同时确认 Nginx 没有报错。

配置 Nginx 使用证书#

编辑站点配置文件（示例）：

vi /etc/nginx/conf.d/blog.conf

配置 HTTPS，并将 HTTP 重定向到 HTTPS#

1
# 80 端口：强制跳转到 HTTPS
2
server {
3
    listen 80;
4
    server_name xhwen.cn blog.xhwen.cn;
5

6
    return 301 https://$host$request_uri;
7
}
8

9
# 443 端口：真正提供网站内容
10
server {
11
    listen 443 ssl http2;
12
    server_name xhwen.cn blog.xhwen.cn;
13

14
    # 证书（通配符证书也可以用在 blog.xhwen.cn，只要证书包含 *.xhwen.cn）
15
    ssl_certificate     /etc/nginx/ssl/xhwen.cn/fullchain.pem;
16
    ssl_certificate_key /etc/nginx/ssl/xhwen.cn/privkey.pem;
17

18
    # TLS 配置（够用且安全）
19
    ssl_protocols TLSv1.2 TLSv1.3;
20
    ssl_session_cache shared:SSL:10m;
21
    ssl_session_timeout 10m;
22

23
    # 其他配置...
24
}

验证 Nginx 配置并生效#

先检查配置语法，确认无误后再重载 Nginx：

nginx -t
systemctl reload nginx

nginx -t 出现下面两行就表示语法检查通过：

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

浏览器验证#

访问 https://blog.xhwen.cn，确认浏览器能正常建立 HTTPS 连接。

命令行验证#

openssl s_client -connect xhwen.cn:443 -servername xhwen.cn

重点看证书链和验证结果是否正常。如果签发的是 ECC 证书，公钥算法会显示为 ECDSA。