Ubuntu 22.04 下 Nginx 如何一键搞定 Let‘s Encrypt 证书？附自动续期脚本
Ubuntu 22.04 下 Nginx 极速部署 Let's Encrypt 证书全攻略
最近在帮几个创业团队部署线上服务时，发现很多开发者虽然知道 HTTPS 的重要性，但面对证书申请和配置还是望而却步。其实在 Ubuntu 22.04 上，用 Nginx 配合 Let's Encrypt 完全可以实现五分钟内完成 HTTPS 部署，而且后续维护完全自动化。本文将分享一套经过 50+ 服务器验证的极简方案，包含几个你可能不知道的实用技巧。
1. 环境准备与工具选型
在开始之前，我们先理清几个关键点。Let's Encrypt 作为非营利性证书颁发机构，提供的免费证书已被所有主流浏览器信任。其核心优势在于自动化工具链成熟，而 Certbot 正是其官方推荐的客户端工具。
必备条件检查清单：
- 已解析到服务器公网 IP 的域名（A 记录）
- 服务器已开放 80 和 443 端口（临时开放 80 端口即可）
- Nginx 基础配置已完成（至少有一个可访问的 HTTP 站点）
提示：如果使用云服务商，记得检查安全组规则是否放行相关端口。常见问题往往是防火墙阻拦而非配置错误。
安装 Certbot 时推荐使用 Snap 版本而非系统仓库版本，因为前者始终保持最新：
sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/bin/certbot2. 一键证书获取的进阶技巧
常规教程都会教的基础命令是certbot --nginx，但实际生产环境中我们更需要这些增强参数：
sudo certbot --nginx -d example.com -d www.example.com \ --email admin@example.com \ --agree-tos \ --no-eff-email \ --redirect \ --hsts \ --uir这个复合命令一次性完成了：
- 为带 www 和不带 www 的域名申请证书
- 自动配置联系邮箱（避免证书到期前无法通知）
- 强制 HTTP 跳转 HTTPS
- 添加 HSTS 安全头
- 启用内容安全策略
常见问题排查表：
| 错误现象 | 可能原因 | 解决方案 |
|---|---|---|
| Could not bind to port 80 | Nginx 未运行或端口被占用 | 启动 Nginx 或检查占用进程 |
| DNS problem: NXDOMAIN | 域名解析未生效 | 检查 DNS 解析状态 |
| Too many requests | 同一域名申请超限（每周5次） | 改用临时域名测试 |
3. Nginx 配置深度优化
证书部署后，建议手动检查生成的 Nginx 配置（通常在/etc/nginx/sites-available/目录）。以下是几个值得添加的安全优化项：
ssl_session_cache shared:SSL:10m; ssl_session_timeout 1d; ssl_session_tickets off; ssl_protocols TLSv1.2 TLSv1.3; ssl_prefer_server_ciphers on; ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256...'; ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 1.1.1.1 valid=300s;这些配置实现了：
- 会话复用减少 TLS 握手开销
- 禁用不安全的 TLS 1.0/1.1
- 启用 OCSP Stapling 提升验证速度
- 使用现代加密套件
4. 自动化续期系统设计
虽然 Certbot 自带的renew命令可以处理续期，但在高可用场景下需要更健壮的方案。推荐使用这个增强版续期脚本：
#!/bin/bash echo "[$(date)] Starting cert renewal" >> /var/log/le-renew.log if /usr/bin/certbot renew --quiet > /dev/null 2>&1; then echo "[$(date)] Renewal succeeded" >> /var/log/le-renew.log systemctl reload nginx else echo "[$(date)] Renewal failed" >> /var/log/le-renew.log echo "Cert renewal failed" | mail -s "Cert Alert" admin@example.com fi将其保存为/etc/cron.weekly/le-renew并赋予执行权限，比单纯用 crontab 的优势在于：
- 详细日志记录便于排查
- 失败时自动邮件告警
- 与系统维护周期同步（每周执行）
5. 证书监控与告警系统
即使有自动续期，仍然建议设置监控。这里提供一个简单的 Prometheus 监控方案：
- 创建监控脚本
/opt/le-monitor/check_cert.sh：
#!/bin/bash domain="example.com" end_date=$(openssl x509 -enddate -noout -in /etc/letsencrypt/live/$domain/cert.pem | cut -d= -f2) end_ts=$(date -d "$end_date" +%s) now_ts=$(date +%s) days_left=$(( (end_ts - now_ts) / 86400 )) echo "cert_expiry_days{domain=\"$domain\"} $days_left"- 配置 Node Exporter 的 textfile 收集器：
- job_name: 'node' static_configs: - targets: ['localhost:9100'] file_sd_configs: - files: - '/opt/le-monitor/cert_metrics.prom'- 设置 crontab 每 6 小时更新一次指标：
0 */6 * * * /opt/le-monitor/check_cert.sh > /opt/le-monitor/cert_metrics.prom这样就能在 Grafana 中直观看到证书剩余有效期，并设置 30 天阈值告警。
6. 多域名与通配符证书实战
对于需要管理多个子域名的场景，通配符证书是更好的选择。申请时需要 DNS 验证：
sudo certbot certonly \ --manual \ --preferred-challenges=dns \ -d *.example.com \ --server https://acme-v02.api.letsencrypt.org/directory按照提示在 DNS 添加 TXT 记录验证所有权后，会生成适用于所有子域的证书。注意这种证书：
- 需要每 3 个月手动更新（无法全自动）
- 不支持裸域名（需单独申请 example.com）
- 私钥安全性要求更高
建议将这类证书与具体业务证书分开管理，避免频繁更新影响核心业务。