Linux on Lishengxie

Let's Encrypt 免费申请 SSL 证书，并实现自动续期

Sun, 14 Sep 2025 21:58:04 +0800

背景

对于公网可以访问的网站，使用 HTTPS 协议是保证安全访问的基础要求，而 SSL 证书又是 HTTPS 协议不可或缺的一环。SSL 证书需要 CA 机构颁发，当前使用了阿里云的个人测试证书（免费证书），申请后上传到服务器并更新 nginx 配置。

当前存在的问题是，阿里云的免费 SSL 证书每三个月过期一次，需要手动重新申请并部署到服务器上，流程比较复杂。在网上看到可以使用 Let’s Encrypt 免费申请 SSL 证书，并实现自动续期，于是做了尝试，这里记录下相关流程。

环境准备

一台可以访问公网的服务器，我使用的是 Linux/Ubuntu。
root 权限或者 sudo 权限。
存在 DNS 解析的域名。

Let’s Encrypt 证书颁发

Let’s Encrypt 是一个免费的、自动化的、开放的证书颁发机构（CA），提供免费 SSL 证书。它的目标是让所有网站都能轻松实现 HTTPS 加密，保障用户数据的安全。通过 Let’s Encrypt 可以为网站的主域名、子域名，甚至泛域名配置安全证书，而且过程完全自动化，不需要手动申请和管理证书，官方推荐使用 Certbot。

Certbot 安装

Linux 平台上可以使用 snap 或 pip 安装 Certbot，这里使用 Python + pip 的方式，参考安装流程。

1、首先安装 Python 环境。

Nginx禁止使用IP直接访问服务器上相应端口

Sat, 11 May 2024 21:48:52 +0800

起因

我的服务器中部署了一个typecho博客和两个使用docker容器的服务，其中docker容器使用端口映射，将容器中的端口映射到宿主机上的端口实现访问。

一次偶然机会发现服务器上的服务可以通过IP+端口的方式直接访问，如果有未备案的域名解析到我们服务器的IP，可能会导致云服务器厂商关停我们的服务造成一些问题。因此，我们需要禁止通过IP+端口直接访问服务。

Nginx 配置

这里的三个服务通过nginx进行转发，对不同server_name的请求会直接转发到对应的服务进程。因此，这里有限考虑使用nginx配置来禁止IP+端口的访问。服务器上主要开放了两个端口，80和443，分别用于HTTP和HTTPS请求，在实际进行相应配置时二者也有所不同。

80 端口

对于80端口，我们在nginx.conf中添加如下配置。具体原理在于，当根据listen无法得到最佳匹配时，nginx会使用请求中的Host值匹配server_name，匹配顺序可以参考这篇博客。IP+端口进行请求时匹配到下面的server配置，直接返回403错误信息。

server {
 listen 80 default_server;
 server_name _; 
 return 403;
}

443端口

由于使用了HTTPS协议，因此还需要禁止通过IP+443端口的访问方式。具体参考了下面的博客：

https://www.huixiangdou.cn/archives/nginx-jin-zhi-80-443-duan-kou

具体来说，Nginx 上对于 SSL 服务器在不配置证书的时候会出现协议错误，哪怕端口上配置了其他网站也会报错。因此，我们需要随便生成一个证书进行配置，生成 SSL 证书可以使用这个网站https://myssl.com/create_test_cert.html。在nginx.conf中添加如下配置：

server {
 listen 80 default;
 listen 443 default_server;
 #SSL-START SSL相关配置，请勿删除或修改下一行带注释的404规则
 #error_page 404/404.html;
 ssl_certificate /path/to/cert.pem;
 ssl_certificate_key /path/to/private.key;
 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4:!DH:!DHE;
 ssl_prefer_server_ciphers on;
 ssl_session_cache shared:SSL:10m;
 ssl_session_timeout 10m;
 error_page 497 https://$host$request_uri;
 #SSL-END
 server_name _;
 return 403;
}

配置完成后重载 Nginx 配置。

$ nginx -t
$ nginx -s reload

Docker容器问题

Docker容器通过端口映射实现服务的对外可用性，这里是通过-p host_port:container_port实现容器上的端口到宿主机上端口的映射。具体来说，以容器的80端口映射到宿主机的8080端口为例，docker容器运行时使用了-p 8080:80，Nginx中监听了80端口，并在对应域名访问时将请求转发到服务器的8080端口。

location / {
 proxy_pass http://host_ip:8080;
}

但是，在根据上面的配置禁止了直接使用IP+80/443端口访问的方式后，发现host_ip:8080仍然能够访问到docker容器中的服务。查询相关资料修改了iptables路由表和sfw防火墙规则后，仍然无法解决问题。防火墙上没有打开端口，但仍然可以访问。最后通过查找资料发现是docker自身的原因，下面是docker官方的介绍：

内网离线服务器使用

Sat, 03 Jun 2023 20:34:46 +0800

最近在跑实验时，自己的电脑出现内存不够用的问题，想到在实验室的一台闲置的服务器上运行程序。但是该服务器只能通过内网连接，无法使用外网，因此这里记录了内网离线服务器使用的一些经历。可以考虑在服务器上安装docker，然后在自己电脑上配好环境后导出docker镜像到服务器上运行。这里没有使用docker环境，本地环境是WSL2-Ubuntu20.04。

程序运行环境配置

C++

针对C++程序，重新下载代码编译；

Python

重新配置Python环境主要经历了以下步骤：

下载miniconda安装程序并安装；
WSL2环境迁移到服务器中，这里选择直接打包WSL2下面的虚拟环境目录并到服务器相应目录下解压，参考了教程https://blog.csdn.net/qq_45893319/article/details/122226053;
直接打包的环境，无法使用pip的问题，可以通过修改pip文件解决，参考教程https://blog.csdn.net/qq_40933913/article/details/127907916
环境迁移后发现在迁移的环境中无法使用clear命令，原因是迁移过来的环境中clear文件有问题。解决方案如下：

在出错的环境下，输入which clear，然后将clear地址重命名，下次再clear时会生成新的。
```
mv /home/xxx/.conda/envs/yolox/bin/clear /home/xxx/.conda/envs/yolox/bin/clear_old
```

vscode连接服务器开发

参考教程https://blog.csdn.net/ffriend/article/details/126680223。由于服务器离线，使用vscode连接时无法在远程服务器上下载vscode-server，这里需要手动下载一下。步骤如下

查看本地vscode的commit id：帮助-关于，复制commit id
本地下载vscode-server

wget https://update.code.visualstudio.com/commit:${commit_id}/server-linux-x64/stable
# 注意把:${commit_id}替换成对应的Commit ID

复制到服务器并安装

rm ~/.vscode-server/bin/* -rf #把$HOME/.vscode-server/bin下的内容删干净，防止出错
cd ~/.vscode-server/bin
tar -zxf vscode-server-linux-x64.tar.gz
mv vscode-server-linux-x64 ${commit_id} # 注意把:${commit_id}替换成对应的Commit ID

服务器安装screen应用

参考教程https://blog.csdn.net/Demo_Null/article/details/110873673，主要是编译安装screen和ncurses两个可执行程序，这里需要管理员权限，负责无法安装到默认的安装位置。

screen常用命令如下

1、启动共享窗口：screen -S 名称 2、查看当前所有共享会话：screen -ls 3、进入共享会话：screen -r 名称 4、退出共享会话：ctrl +a +d

云服务器软件安装

Sun, 30 Apr 2023 08:51:16 +0800

Docker安装(Ubuntu 20.04)：参考知乎博客

更新软件包索引，并且安装必要的依赖软件

sudo apt update
sudo apt install apt-transport-https ca-certificates curl gnupg-agent software-properties-common

使用下面的 curl 导入源仓库的 GPG key：

curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -

将 Docker APT 软件源添加到你的系统：

sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"

安装Docker a. 安装最新版本的Docker

sudo apt update
sudo apt install docker-ce docker-ce-cli containerd.io

b. 安装指定版本的docker

# 列出所有可用的docker版本
sudo apt update
apt list -a docker-ce
# 安装docker
sudo apt install docker-ce=<VERSION> docker-ce-cli=<VERSION> containerd.io

验证安装成功

sudo systemctl status docker
docker container run hello-world

Golang安装：参考腾讯云博客

常用资源汇总

Sun, 30 Apr 2023 08:49:48 +0800

python

pip国内镜像

# 清华镜像源
https://pypi.tuna.tsinghua.edu.cn/simple
# 豆瓣镜像源
http://pypi.douban.com/simple/
# 阿里云镜像源
http://mirrors.aliyun.com/pypi/simple/
# 中国科学技术大学镜像源
http://pypi.mirrors.ustc.edu.cn/simple/

使用方法为pip install package_name -i 镜像源

Ubuntu更换镜像源

如果Ubuntu原始速度还可以的话建议不要换源，常用的有阿里云镜像、清华镜像和搜狐镜像，这里是我使用的镜像，北京外国语大学镜像。

deb https://mirrors.bfsu.edu.cn/ubuntu/ focal main restricted universe multiverse
# deb-src https://mirrors.bfsu.edu.cn/ubuntu/ focal main restricted universe multiverse
deb https://mirrors.bfsu.edu.cn/ubuntu/ focal-updates main restricted universe multiverse
# deb-src https://mirrors.bfsu.edu.cn/ubuntu/ focal-updates main restricted universe multiverse
deb https://mirrors.bfsu.edu.cn/ubuntu/ focal-backports main restricted universe multiverse
# deb-src https://mirrors.bfsu.edu.cn/ubuntu/ focal-backports main restricted universe multiverse
deb https://mirrors.bfsu.edu.cn/ubuntu/ focal-security main restricted universe multiverse
# deb-src https://mirrors.bfsu.edu.cn/ubuntu/ focal-security main restricted universe multiverse

# 预发布软件源，不建议启用
# deb https://mirrors.bfsu.edu.cn/ubuntu/ focal-proposed main restricted universe multiverse
# deb-src https://mirrors.bfsu.edu.cn/ubuntu/ focal-proposed main restricted universe multiverse

Ubuntu换源的具体操作为

Linux常用命令记录

Sun, 30 Apr 2023 08:47:32 +0800

Vim

vim删除文件中的所有内容： ESC确保退出编辑模式，按下":“切换到命令模式然后输入%d并执行 vim删除单行内容：将光标移动到需要删除的行，ESC确保退出编辑模式，按两次d键。 vim删除多行内容：将光标移动到需要删除的第一行，ESC确保退出编辑模式。在dd命令前面加上要删除的行数。例如，如果要删除第4行以下的3行，请先移动至第四行，再按下3dd。 vim撤销&恢复：u是撤销刚才做的动作，ctrl+r 是恢复刚才撤销的动作。

文件操作

参考博客https://www.cnblogs.com/liaojie970/p/6746230.html

文件复制

命令格式：cp [-adfilprsu] 源文件(source) 目标文件(destination)
cp [option] source1 source2 source3 ... directory

参数说明：

-a:是指archive的意思，也说是指复制所有的目录
-d:若源文件为连接文件(link file)，则复制连接文件属性而非文件本身
-f:强制(force)，若有重复或其它疑问时，不会询问用户，而强制复制
-i:若目标文件(destination)已存在，在覆盖时会先询问是否真的操作
-l:建立硬连接(hard link)的连接文件，而非复制文件本身
-p:与文件的属性一起复制，而非使用默认属性
-r:递归复制，用于目录的复制操作
-s:复制成符号连接文件(symbolic link)，即“快捷方式”文件
-u:若目标文件比源文件旧，更新目标文件

如将/test1目录下的file1复制到/test3目录，并将文件名改为file2,可输入以下命令：

cp /test1/file1 /test3/file2

文件移动

命令格式：mv [-fiv] source destination

参数说明:

-f:force，强制直接移动而不询问
-i:若目标文件(destination)已经存在，就会询问是否覆盖
-u:若目标文件已经存在，且源文件比较新，才会更新

如将/test1目录下的file1移动到/test3 目录，并将文件名改为file2,可输入以下命令：

mv /test1/file1 /test3/file2

文件删除

命令格式：rm [fir] 文件或目录

参数说明：

-f:强制删除
-i:交互模式，在删除前询问用户是否操作
-r:递归删除，常用在目录的删除

如删除/test目录下的file1文件，可以输入以下命令：

rm -i /test/file1

Windows 常用命令

PowerShell创建新文件夹和新文件

mkdir 文件夹名称
new-item 文件名称.文件格式 -type file