经过两次跳票，Let’s Encrypt 终于在社区宣布支持通配符证书，相关的新闻和技术点见：
什么是 Let’s Encrypt？
部署 HTTPS 网站的时候需要证书，证书由 CA 机构签发，大部分传统 CA 机构签发证书是需要收费的，这不利于推动 HTTPS 协议的使用。
Let’s Encrypt 也是一个 CA 机构，但这个 CA 机构是免费的！！！也就是说签发证书不需要任何费用。
Let’s Encrypt 由于是非盈利性的组织，需要控制开支，他们搞了一个非常有创意的事情，设计了一个 ACME 协议，目前该协议的版本是 v1。
那为什么要创建 ACME 协议呢，传统的 CA 机构是人工受理证书申请、证书更新、证书撤销，完全是手动处理的。而 ACME 协议规范化了证书申请、更新、撤销等流程，只要一个客户端实现了该协议的功能，通过客户端就可以向 Let’s Encrypt 申请证书，也就是说 Let’s Encrypt CA 完全是自动化操作的。
任何人都可以基于 ACME 协议实现一个客户端，官方推荐的客户端是Certbot 。
什么是通配符证书
在没有出现通配符证书之前，Let’s Encrypt 支持两种证书。
1）单域名证书：证书仅仅包含一个主机。
2）SAN 证书：一张证书可以包括多个主机（Let’s Encrypt 限制是 20），也就是证书可以包含下列的主机：www.example.com、www.example.cn、blog.example.com 等等。
证书包含的主机可以不是同一个注册域，不要问我注册域是什么？注册域就是向域名注册商购买的域名。
对于个人用户来说，由于主机并不是太多，所以使用 SAN 证书完全没有问题，但是对于大公司来说有一些问题：
- 子域名非常多，而且过一段时间可能就要使用一个新的主机。
- 注册域也非常多。
读者可以思考下，对于大企业来说，SAN 证书可能并不能满足需求，类似于 sina 这样的网站，所有的主机全部包含在一张证书中，而使用 Let’s Encrypt 证书是无法满足的。
Let’s Encrypt 通配符证书
通配符证书就是证书中可以包含一个通配符，比如 .example.com、.example.cn，读者很快明白，大型企业也可以使用通配符证书了，一张证书可以防止更多的主机了。
这个功能可以说非常重要，从功能上看 Let’s Encrypt 和传统 CA 机构没有什么区别了，会不会触动传统 CA 机构的利益呢？
如何申请 Let’s Encrypt 通配符证书
安装certbot
yum install certbot
证书申请
certbot certonly -d newyingyong.cn -d *.newyingyong.cn --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory
介绍下相关参数：
- certonly，表示安装模式，Certbot 有安装模式和验证模式两种类型的插件。
- --manual 表示手动安装插件，Certbot 有很多插件，不同的插件都可以申请证书，用户可以根据需要自行选择
- -d 为那些主机申请证书，如果是通配符，输入 *.newyingyong.cn（可以替换为你自己的域名）
- --preferred-challenges dns，使用 DNS 方式校验域名所有权
- --server，Let's Encrypt ACME v2 版本使用的服务器不同于 v1 版本，需要显示指定。
接下去就是命令行的输出：
上述有两个交互式的提示：
- 是否同意 Let's Encrypt 协议要求
- 询问是否对域名和机器（IP）进行绑定
确认同意才能继续。
继续查看命令行的输出，非常关键：
-------------------------------------------------------------------------------
Please deploy a DNS TXT record under the name
_acme-challenge.newyingyong.cn with the following value:
2_8KBE_jXH8nYZ2unEViIbW52LhIqxkg6i9mcwsRvhQ
Before continuing, verify the record is deployed.
-------------------------------------------------------------------------------
Press Enter to Continue
Waiting for verification...
Cleaning up challenges
要求配置 DNS TXT 记录，从而校验域名所有权，也就是判断证书申请者是否有域名的所有权。
上面输出要求给 _acme-challenge.newyingyong.cn 配置一条 TXT 记录，在没有确认 TXT 记录生效之前不要回车执行。
我使用的是阿里云的域名服务器，登录控制台操作如下图：
然后输入下列命令确认 TXT 记录是否生效：
$ dig -t txt _acme-challenge.newyingyong.cn @8.8.8.8
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;_acme-challenge.newyingyong.cn. IN TXT
;; ANSWER SECTION:
_acme-challenge.newyingyong.cn. 599 IN TXT "2_8KBE_jXH8nYZ2unEViIbW52LhIqxkg6i9mcwsRvhQ"
windows验证txt记录值生效没
nslookup -qt=txt _acme-challenge.xxx.com
确认生效后，回车执行，输出如下：
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/newyingyong.cn/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/newyingyong.cn/privkey.pem
Your cert will expire on 2018-06-12. To obtain a new or tweaked
version of this certificate in the future, simply run certbot-auto
again. To non-interactively renew *all* of your certificates, run
"certbot-auto renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
恭喜您，证书申请成功，证书和密钥保存在下列目录：
$ tree /etc/letsencrypt/archive/newyingyong.cn
.
├── cert1.pem
├── chain1.pem
├── fullchain1.pem
└── privkey1.pem
然后校验证书信息，输入如下命令：
openssl x509 -in /etc/letsencrypt/archive/newyingyong.cn/cert1.pem -noout -text
关键输出如下：
X509v3 Subject Alternative Name:
DNS:*.newyingyong.cn
完美，证书包含了 SAN 扩展，该扩展的值就是 *.newyingyong.cn
- 到期更新证书与申请证书命令一样
关于申请或者续期通配符证书，如果你想自动化执行：
https://github.com/ddptsc/certbot-letencrypt-wildcardcertificates-alydns-au.git
查看已安装的证书
certbot certificates
返回结果如下
Found the following certs:
Certificate Name: example.com
Domains: example.com, www.example.com
Expiry Date: 2017-02-19 19:53:00+00:00 (VALID: 30 days)
Certificate Path: /etc/letsencrypt/live/example.com/fullchain.pem
Private Key Path: /etc/letsencrypt/live/example.com/privkey.pem
证书销毁
使用certbot
通过如下命令将指定的域名删除
certbot delete --cert-name example.com
网络上也有教程说是删除如下文件，但有网友反馈会出现问题，不推荐
rm -rf /etc/letsencrypt/live/www.example.com/
rm -rf /etc/letsencrypt/archive/www.example.com/
rm -y /etc/letsencrypt/renewal/www.example.com.conf
证书续签
certbot renew
nginx配置
在nginx配置文件加入以下代码
ssl_certificate /etc/letsencrypt/live/xxx.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/xxx.com/privkey.pem;
ssl_session_timeout 5m;
ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
检测SSL的安全性
配置成功HTTPS之后，为了验证我们的成果，可以通过Qualys SSL Labs网站检测。不出意外，你将得到一个A +。如果还没有，则仔细看看还差什么方面的修补啦。
如果开启了nginx的的HTTP2配置，也会看见浏览器访问的开发者工具中，显示的H2的协议。当然，nginx的开启HTTP需要版本在1.9.5之上，编译还需要设置--with-http_v2_module。对于1.10.1以上的版本，则默认安装的就能开启http2的功能。
配置DNS的CAA记录
在使用SSL Labs提供的ssl安全性测试工具时，提示没有配置DNS的CAA记录，如图
- 什么是CAA
CAA的全拼是(DNS) Certification Authority Authorization，即DNS证书颁发机构授权，是一项借助互联网的域名系统（DNS），使域持有人可以指定允许为其域签发证书的数字证书认证机构（CA）的技术。它会在 DNS 下发 IP 的同时，同时下发一条资源记录，标记该域名下使用的证书必须由某证书颁发机构颁发。从而限定了特定域名颁发的证书和CA(证书颁发机构)之间的联系。避免了任意CA可以为任意域名颁发证书的风险。 - CAA支持列表
CAA的使用，肯定需要DNS的支持，截至2016年，CAA记录在下列软件中已获支持：BIND DNS服务器（自版本9.10.1B起）、NSD权威DNS服务器（自版本4.0.1起）、Knot DNS服务器（自2.2.0版本起以及PowerDNS（自4.0.0版本）。【摘自维基百科】
目前，国内的DNS服务商中，阿里云以及cloudxns已经支持CAA记录的解析，不过阿里云的CAA记录仅vip用户可用，dnspod以及腾讯云暂时不支持，其他没有测试，具体的支持列表可以点击这里查看（国外的信息比较全，国内没收录几家。
-
启用DNS CAA
image.png
@ CAA 默认 0 iodef "test@qq.com"
* CAA 默认 0 issue "letsencrypt.org"
- 主机记录 这里填*是应用的通配符证书。
- CAA data 填写 0 issue "证书颁发机构域名"。如果如果你用 Let's Encrypt 颁发的免费证书，CAA data 部分直接填写 0 issue "letsencrypt.org" 即可。
- 你还可以添加一条为 0 iodef "mailto:你的邮箱" 的 CAA 记录，表示如果发现违背 CAA 记录的情况给这个邮箱发邮件通知。
- 如果你仍然不太清楚如何填写 CAA 记录，可以用工具直接生成：https://sslmate.com/caa/。填写域名后点
Auto-Generate Policy，这个工具会自动查询你的网站使用了什么证书，从而生成对应的 CAA 记录数据。
image.png
image.png
最后在https://www.ssllabs.com/ssltest/index.html上测试
