Генерация letsencrypt без остановки NGINX?

Question

[Sanes]

Возможно ли как-то сгенерировать сертификат без остановки веб-сервера? Может порт где надо изменить?

Answer 1

[Эргил Осин]

Можно, разрешаю.

Для всех доменов использую вот такой локейшен инклюдящийся в конфиг каждого

location /.well-known/acme-challenge {
             alias /srv/www/.well-known/acme-challenge;
}

И

letsencrypt-auto certonly -a webroot --webroot-path /srv/www/ -d domain.ltd --server https://acme-v01.api.letsencrypt.org/directory

для первичной генерации, а потом renew спокойно когда нужно обновить(ну или в крон renew повесить).

Comments

[Sanes]

Спасибо, с этим я разобрался. Однако опять встрял с этим nginx.
Вторая за пол-года безуспешная попытка реализовать редирект
https:///www. domain => https://domain
Десятки разных способов и ни один не работает.

[Эргил Осин]

Sanes:

server {
listen www.domain.tld:80;
server_name www.domain.tld;

location / {
rewrite ^/(.*)$ https://domain.tld$1 permanent;
}

}

Ну тоже из моих конфигов. С www 80го, сразу на без-www httpsный, для httpsного аналогичная конструкция.

[Sanes]

Эргил Осин: в документации nginx рекомендуют в одной секции server прописывать
listen www.domain.tld: 80;
listen www.domain.tld: 443 ssl;

[Эргил Осин]

Sanes: я подобного не делаю и счастливо живу. Более того встроенный в amplify.nginx.com парсер конфигов мои варианты не считает неправильными(а вот по некоторым другим моим моментам оно мне советов дало). Так что я останусь при своем мнении.

[Sanes]

Эргил Осин: Дело хозяйское. Однако ваш вариант я пробовал. Сейчас специально еще раз проверил. Не взлетело.

[Эргил Осин]

Sanes: у меня все работает при этом. Думаю, что проблема где-то у вас, а не в том что пробовали.

[Sanes]

Эргил Осин: возможно

[Эргил Осин]

Sanes: уверен, если вы пробуете 100% работающий пример, а он не работает проблема точно не в примере. А что в это время в логах?

[Sanes]

Эргил Осин: Я уже там столько ошибок нагенерировал, что черт ногу словит. Если добавить секцию www 443 то она ломает и ту, которая без www
server {
listen www.domain.tld:443 ssl;
server_name www.domain.tld;

location / {
rewrite ^/(.*)$ https://domain.tld$1 permanent;
}

}

[Sanes]

Эргил Осин: 2016/03/26 20:30:29 [error] 21258#0: *25 no "ssl_certificate" is defined in server listening on SSL port while SSL handshaking, client: xxx.xxx.177.86, server: 0.0.0.0:443

[Sanes]

Sanes: Короче, все как-то мутно в этой теме https://github.com/andyceo/documentation/wiki/Ngin...

[Эргил Осин]

Sanes: ну из лога ошибка четко, что нет сертификата, надо исправлять, например.

[Sanes]

Эргил Осин: так, а редирект почему не работает?

[Эргил Осин]

Sanes: а оно по https, очевидно и не отвечает, вот и не работает. Используйте nginx -t для проверки конфигов, перед рестартом nginx, пока не скажет «ok» не перезапускайте. Начнем с избавления от ошибок в конфигах, дальше разберемся.

[Sanes]

Эргил Осин: Получается, что редирект не срабатывает и подсовывается сертификат домена без www, а он соответсвенно не действительный

Answer 2

[Sanes]

--webroot-path