Let's Encrypt 怎么就不香了？

march1993

有看到说其他证书 1 年不用配置的。。 Let's Encrypt 不是几年不用配置的吗？3 个月自动换发新证书之后，Nginx 自动更新的啊；现在 Let's Encrypt 的 ocsp 被污染了，绑定 hosts 就可以绕过了的。

letsencrypt 自动更新后让 nginx 载入新证书

1. /etc/letsencrypt/renewal-hooks/post$ cat nginx
   
2. #! /bin/bash
   
3. /etc/init.d/nginx reload

复制代码

我在 /etc/hosts 里绑了一个 Akamai 的节点

1. 96.17.151.41 ocsp.int-x3.letsencrypt.org

复制代码

nginx 里用到 tls 的站点全部配置 stapling

1. ssl_stapling on;

复制代码

Let's Encrypt 怎么就不香了？

大猫

非常香，如果OCSP没被墙 不需要装订 更香

Lochlain

在用，因为免费。
缺点就是套了cdn要自己续签。

shc

1, 虚拟主机没办法开启OCSP, 没办法改hosts……
2, 开启OCSP之后，safari访问还是很慢，不知道是为啥……
3, 有些服务器没办法开启OCSP装订，比如Swoole, H2O, 总不见得为了用Let's Encrypt, 单独再加一层反代吧……
4, 多节点情况下没办法轻易续期；就算续期了，每三个月把证书挨个节点复制一遍非常麻烦……

所以，我觉得两年50几块钱一次性把SSL处理好也是不错的……

lanjuli

这是最好的年代 发表于 2020-7-24 18:45
可以的，它支持DNS验证，没建站都能申请证书

cdn都需要自己手动上传ssl证书，而且基本没有什么api支持自动换证书的

march1993

gdtv 发表于 2020-7-25 11:10
如果是国内服务器，开启本地ocsp在服务器上绑定host没有用，因为ocsp地址被屏蔽了，你国内的服务器也是访问 ...

绑定 akamai 的 hosts 有用的

gdtv

如果是国内服务器，开启本地ocsp在服务器上绑定host没有用，因为ocsp地址被屏蔽了，你国内的服务器也是访问不到ocsp地址的啊，除非你的服务器在国外才有用。

march1993

Stevenchu 发表于 2020-7-25 04:02
你这renewal hook什么鬼， 直接在设置证书时候加个`-installer nginx` 就能自己更新重启了啊... ...

installer 这个会瞎改我的配置文件。。手动 hook 舒适一点

dkqgt

免费的迟早又被革掉

skya

march1993 发表于 2020-7-24 20:31
ssl_stapling ，然后服务器端 hosts绑定

有具体教程么，Linux系统nginx服务器。。。
我也去查下

Stevenchu

你这renewal hook什么鬼， 直接在设置证书时候加个`-installer nginx` 就能自己更新重启了啊...

holinhot

想用Let's Encrypt大批量切可靠，那得开发一个证书生命周期管理系统专门负责申请和续期证书。然后下发到服务器节点。光靠每台单机跑个cron太不可靠了

holinhot

larry 发表于 2020-7-24 17:39
一般的MJJ哪有那个开发能力。。

有这开发能力的都赚不少钱，缺证书这40块钱。