nginx centos上ssl证书更新流程

Nginx on CentOS SSL证书更新流程

1. 准备工作

确认Certbot安装：确保系统已安装Certbot及Nginx插件（若未安装，执行以下命令）：
```
sudo yum install epel-release sudo yum install certbot python3-certbot-nginx 
```

备份旧证书（可选但推荐）：避免更新失败导致服务中断，备份现有证书和私钥：

sudo cp /etc/letsencrypt/live/yourdomain.com/fullchain.pem /etc/letsencrypt/live/yourdomain.com/fullchain.pem.bak sudo cp /etc/letsencrypt/live/yourdomain.com/privkey.pem /etc/letsencrypt/live/yourdomain.com/privkey.pem.bak

2. 手动更新证书（适用于Let’s Encrypt证书）

使用Certbot自动更新：Certbot支持自动检测证书有效期（默认3个月），执行以下命令更新指定域名的证书：
```
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com 
```
命令会自动完成以下操作：
- 验证域名所有权（通过HTTP挑战）；
- 下载新证书（fullchain.pem和privkey.pem）；
- 更新Nginx配置文件中的ssl_certificate和ssl_certificate_key路径；
- 重启Nginx服务以应用新证书。

手动替换证书文件（若未使用Certbot自动管理）：
将新证书文件复制到Nginx配置的路径（通常为/etc/letsencrypt/live/yourdomain.com/），并设置正确的权限：

sudo cp new_certificate.crt /etc/letsencrypt/live/yourdomain.com/fullchain.pem sudo cp new_private_key.key /etc/letsencrypt/live/yourdomain.com/privkey.pem sudo chmod 600 /etc/letsencrypt/live/yourdomain.com/privkey.pem # 私钥权限必须严格

3. 测试Nginx配置

更新证书后，务必测试Nginx配置文件的语法正确性，避免因配置错误导致服务中断：

sudo nginx -t

若输出显示syntax is ok和test is successful，则表示配置无误。

4. 重新加载Nginx

配置测试通过后，重新加载Nginx以应用新证书（无需停止服务，不影响现有连接）：

sudo systemctl reload nginx

5. 验证证书更新

浏览器验证：访问https://yourdomain.com，点击地址栏的锁图标，查看证书有效期是否更新。
命令行验证：使用openssl命令查看证书详情：
```
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com | openssl x509 -noout -dates 
```
输出中的notAfter字段应显示新证书的过期时间。

6. 设置自动更新（关键步骤）

Let’s Encrypt证书有效期为3个月，需定期更新以避免服务中断。推荐通过定时任务自动执行更新：

测试自动更新（模拟执行，不实际更新）：
```
sudo certbot renew --dry-run 
```
若输出显示“Congratulations, all renewals succeeded”，则表示自动更新配置正确。
添加定时任务：使用crontab设置每周日凌晨2点执行更新，并重启Nginx：
```
sudo crontab -e 
```
添加以下内容（每周日凌晨2点更新证书，3点重启Nginx）：
```
0 2 * * 0 /usr/bin/certbot renew >> /var/log/certbot-renew.log 2>&1 0 3 * * 0 /usr/sbin/systemctl reload nginx >> /var/log/nginx-reload.log 2>&1 
```
保存后，定时任务会自动生效。

注意事项

证书路径：确保Nginx配置中的ssl_certificate和ssl_certificate_key路径与Certbot生成的路径一致（通常为/etc/letsencrypt/live/yourdomain.com/）。
权限问题：私钥文件（privkey.pem）的权限必须设置为600，否则Nginx无法读取。
日志排查：若更新失败，查看Certbot日志（/var/log/letsencrypt/letsencrypt.log）和Nginx错误日志（/var/log/nginx/error.log）定位问题。