安装和配置那个叫做SSL证书的东西, 其实是把网站的安全工作做好的最核心的一个环节。
现在市面上能买到的那些工具呢, 按照它们分别在什么地方去部署的情况来划分, 一共可以分成四种不同的类型, 分别是云服务提供商的那个控制台里面带的工具、在服务器上面运行的那种自动化脚本、第三方的专门管理平台、还有直接包含在浏览器里面的那些用来检查的工具。
你在选择这些工具的时候, 最重要的一条原则就是看它是不是和你的服务器环境还有你的运维能力相匹配, 绝对不要为了追求功能数量上的多而乱选。
主流工具分类与适用场景
1. 对于云厂商控制台工具, 阿里云、腾讯云、华为云等提供商均免费开放了证书申请的功能, 并且支持一键安装部署。这种方法特别适合那些已经把服务器放置在云计算环境里的企业用户, 因为这种方式的操作门槛是最低的。
2. 自动化脚本工具, 比如说Certbot和acme.sh这些, 其中Certbot是Let's Encrypt官方推出的工具，它们都支持让Linux服务器利用命令行的方式, 去把证书的申请和安装这两件事给办妥, 还能实现自动续期的功能, 这类工具比较合适那些团队里面有人具备基础的Linux运维能力。
3. 第三方管理平台: 这里面包含了gname.xin提供的SSL证书批量管理方案。它还包含Acme-Panel。它还包含Cert-manager, 这个是在Kubernetes环境里面用的。这些平台适用于那种多站点、多集群的批量证书管理场景。
4. 浏览器与检测工具: 比如Chrome DevTools, 还有SSL Labs, 网址是ssllabs.com等等。这些工具用在哪里呢? 用在这里, 用来在证书部署完成之后, 进行验证工作, 也用来排查出现问题的情况。
选型核心标准
证书的获取来源, 可以是那些提供商业服务的证书颁发机构, 比如说DigiCert和GlobalSign这些；或者也可以来自于一些免费的证书颁发机构, 像Let's Encrypt、ZeroSSL这样。
自动化程度方面, 是不是支持用DNS验证来搞定, 能不能自动去续期, 还会不会在到期的时候搞一个告警之类的。
环境适配这个方面, 它主要指的是操作系统, 也就是Linux, 还有Windows, 还包括Web服务器这一些东西, 像是Nginx, Apache, 以及IIS这种, 另外还包含容器化环境这一种情况。
在批量处理的能力方面, 需要考虑的情况包含单站点的场景、多站点的场景, 以及对跨域名的管理需求。
这里的成本主要指的是工具本身是不是免费用的, 还有证书的续费周期到底有多长, 以及具体的费用是多少。
通用安装配置流程
不管是用哪一个工具, SSL证书的这一步安装操作的话, 基本的那个流程它就是这样:
1. 你需要去获取那个证书文件, 这个文件里要包括的东西还有证书链、私钥以及中间证书这些内容。
2. 把那个文件给传上去, 传到服务器那边指定的那个文件夹里去。
3. 你要去修改那个叫做Web服务器的软件里面的配置文件, 比如说你要是用的是Nginx的话, 你就得找到里面专门写ssl_certificate还有那个叫作ssl_certificate_key的指令, 然后对着它们做一些调整。
4. 配置内容为, 让443端口处于监听状态, 同时将HTTP流量强制跳转到HTTPS协议上去。
5. 先把服务重载, 然后再去验证一下, 你可以用浏览器访问这种方式, 也可以用
6. 你可以去设置那个相关的到期提醒的东西, 或者是弄一个能够自动进行续期的那样的机制出来。
高频问题
证书链不完整: 在部署的时候, 需要把中间证书和服务器证书拼在一起, 组成了一个完整的链条, 也就是所谓的完整链, 如果不这样做了的话, 那么有一部分客户端就会报错。
自动续期失效指的是证书无法按时再次颁发, 这意味着 Certbot 需要借助 systemd timer 或者 cron 任务来帮忙, 这样才能够确保程序始终在工作。
在更换新的证书之后, 一定要把旧的证书文件给彻底删除掉, 不然的话很有可能会因为配置文件的错误引用而导致出现问题。
进行选型工作的时候, 建议你先把自己所处的环境限制条件弄清楚, 然后再去对照着看这些工具的功能是否匹配, 以此来避免引入那些没必要增加的复杂情况。
如果是在中小规模的站点情况下, 用云厂商提供的控制台或者是Certbot这个工具就足够了。但是, 如果面临的是多个集群以及多个域名的场景, 那么使用第三方的批量管理平台效率会更高一些。
