为 Docker 中的 Nginx 配置 HTTPS(3)

# enable ssl
    ssl                      on;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers              "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4";

# config ssl certificate
    ssl_certificate          conf.crt/live/www.linuxmi.com/fullchain.pem;
    ssl_certificate_key      conf.crt/live/www.linuxmi.com/privkey.pem;

location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root /usr/share/nginx/html;
    }
    location = /.well-known/acme-challenge/ {
            return 404;
    }
    location / {
        proxy_pass ;    }
}

然后删除容器 gateway 并用下面的脚本重新创建：

$ docker run -d \
    -p 80:80 \
    -p 443:443 \
    -v $(pwd)/nginx/conf.d:/etc/nginx/conf.d:ro \
    -v $(pwd)/nginx/conf.crt:/etc/nginx/conf.crt:ro \
    -v $(pwd)/nginx/nginx.conf:/etc/nginx/nginx.conf:ro \
    -v $(pwd)/logs/nginx:/var/log/nginx \
    -v $(pwd)/nginx/html:/usr/share/nginx/html \
    --restart=always \
    --name=gateway \
    --network=webnet \
    nginx:1.14

现在就只能通过 https 来访问站点了：

自动更新证书

Let's Encrypt 提供的 SSL/TLS 证书期限只有三个月，每过三个月要手动更新一次证书也够呛的，下面我们介绍自动更新证书的方法。
其实我们的配置已经为自动化更新证书提供了最大的便利(其实是使用 docker 带来的便利)，在定时任务中添加下面两条记录就可以了：

0 0 1 * * /home/nick/certbot/renew_cert.sh /home/nick >> /home/nick/logs/cert.log 2>> /home/nick/logs/cert.error.log
0 1 1 * * docker exec gateway nginx -s reload

每月 1 号的 0 点更新证书，一个小时后 reload nginx 的配置。

总结

Let's Encrypt 是一个非常棒的网站，对于初学者和个人来说，能够帮助我们轻松的实现 HTTPS 站点(还是免费的)！在方便的同时，其隐患也是显而易见的：既然谁都可以无门槛的获得 SSL/TLS 证书，那么非法网站也可以通过它把自己伪装成看上去合法的站点。 所以千万不要片面的认为 HTTPS 站点就是安全的！

Linux公社的RSS地址：https://www.linuxidc.com/rssFeed.aspx