问题根源
你的域名被百度云墙（domainwall.cloud.baidu.com）拦截了 Let's Encrypt 的 HTTP 验证请求，导致标准的 HTTP 验证方式全部失败。
尝试过的方案（都失败了）
1. HTTP 验证 + Nginx 插件 ❌
- 被百度云墙拦截，返回 403
2. HTTP 验证 + Standalone 模式 ❌
- 同样被拦截
3. DNS 验证 + Certbot 手动模式 ❌
- 每次运行都生成新的验证码
- 你更新 DNS 后，再次运行又生成新验证码
- 陷入死循环
4. DNS 验证 + Expect 自动化脚本 ❌
- 同样的问题，验证码不断变化
5. DNS 验证 + Auth Hook ❌
- 脚本等待期间验证码已经生成，但你更新 DNS 需要时间
- 等你更新完，验证又失败了
最终成功的方案 ✅
使用 acme.sh + DNS 手动模式
关键区别：
- acme.sh 会保持验证状态
- 第一次运行生成验证码后停止
- 你更新 DNS
- 运行 --renew 命令时使用相同的验证码继续验证
- 不会重新生成验证码！
具体步骤
# 1. 安装 acme.sh
wget -O /tmp/acme.sh.tar.gz https://gitee.com/neilpang/acme.sh/repository/archive/master.tar.gz
cd /tmp && tar -xzf acme.sh.tar.gz && cd acme.sh-master
./acme.sh --install --home /root/.acme.sh
# 2. 切换到 Let's Encrypt
/root/.acme.sh/acme.sh --set-default-ca --server letsencrypt
# 3. 生成验证码（会停止等待）
/root/.acme.sh/acme.sh --issue --dns -d haohetong.site --yes-I-know-dns-manual-mode-enough-go-ahead-please
# 输出：TXT value: 'R87dyfSzPvWZrbwec24Dm2XzOC_azobA5B1Sl8d4-UQ'
# 4. 你更新 DNS TXT 记录
# _acme-challenge.haohetong.site = R87dyfSzPvWZrbwec24Dm2XzOC_azobA5B1Sl8d4-UQ
# 5. 完成验证（使用相同验证码）
/root/.acme.sh/acme.sh --renew -d haohetong.site --yes-I-know-dns-manual-mode-enough-go-ahead-please
# 6. 安装证书到 Nginx
mkdir -p /etc/nginx/ssl
/root/.acme.sh/acme.sh --install-cert -d haohetong.site --ecc \
--key-file /etc/nginx/ssl/haohetong.site.key \
--fullchain-file /etc/nginx/ssl/haohetong.site.cer \
--reloadcmd "systemctl reload nginx"
# 7. 配置 Nginx HTTPS
# 更新配置文件，添加 443 端口和 SSL 配置
nginx -t && systemctl reload nginx
为什么这么难？
- 百度云墙在网络层拦截了 Let's Encrypt 验证服务器的 IP
- Certbot 的 DNS 手动模式设计有缺陷，每次运行都重新生成验证码
- DNS 传播需要时间，但验证码已经变了
经验教训
如果域名有 CDN/云加速：
1. 优先使用 DNS 验证而不是 HTTP 验证
2. 使用 acme.sh 而不是 certbot（更灵活）
3. 或者临时关闭 CDN，用 HTTP 验证（30秒搞定）
4. 或者直接用云服务商提供的免费证书（自动 DNS 验证）
现在证书已经配置好了，acme.sh 会自动续期，以后就不用这么折腾了！