Linux如何使用Let‘s Encrypt免费证书_Linux Let’s Encrypt免费证书方法-LINUX-PHP中文网

certbot --nginx报错“failed to find a virtual host listening on port 80”是因为插件仅匹配已存在且显式声明listen 80的server块，不创建新块、不依赖default_server隐式回退，需确保nginx -t通过且nginx -t | grep "listen.*80"有明确输出。

$linux如何使用let\'s encrypt免费证书_linux let\'s encrypt免费证书方法$

Let’s Encrypt 证书不是“装完就能用”，关键卡点永远在验证环节——http-01 失败八成是 Nginx 配置漏了 /.well-known/acme-challenge 路径，dns-01 失败九成是 API Token 权限或 DNS 解析延迟没等够。

为什么 certbot --nginx 会报错 “Failed to find a virtual host listening on port 80”

certbot 的 --nginx 插件依赖 Nginx 配置中已存在监听 80 端口的 server 块，且该块必须能响应 HTTP 请求。它不会帮你新建 server 块，只会在已有配置里找匹配项。

检查 nginx -t 是否通过，确认语法无误
运行 nginx -T | grep "listen.*80"，确认至少有一个 server 显式写了 listen 80;（不能只靠 default_server 隐式 fallback）
如果用了非标准端口（如 8080），--nginx 插件直接失效，改用 --webroot
宝塔用户注意：宝塔自动生成的站点配置默认不开放 80 端口对外访问（仅限本地回环），需手动勾选“监听所有 IP”并重载 Nginx

webroot 方式下 /var/www/challenges/ 目录权限和 location 配置怎么写才不 404

webroot 模式本质是让 Let’s Encrypt 服务器 GET 一个临时文件，路径固定为 http://yourdomain/.well-known/acme-challenge/<token></token>，Nginx 必须精准转发这个请求到你指定的本地目录，且该目录对 www-data（Debian/Ubuntu）或 nginx（CentOS/RHEL）用户可读。

Linux Ai Server

Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。

下载

创建目录并赋权：sudo mkdir -p /var/www/challenges/.well-known/acme-challenge，然后 sudo chown -R www-data:www-data /var/www/challenges（Ubuntu）或 sudo chown -R nginx:nginx /var/www/challenges（CentOS）
Nginx 配置中必须有独立的 location 块，不能嵌套在其他 location / 里：location ^~ /.well-known/acme-challenge/ { root /var/www/challenges; }
不要加 alias 后多斜杠，alias /var/www/challenges/.well-known/acme-challenge/; 是错的，会导致路径拼接错误；用 root 更安全
验证是否生效：手动 echo test > /var/www/challenges/.well-known/acme-challenge/test，再 curl http://yourdomain/.well-known/acme-challenge/test，应返回 test

申请泛域名证书必须用 dns-01，但 acme.sh 提示 “DNS API not found” 怎么办

dns-01 验证要求你调用 DNS 服务商 API 自动添加 TXT 记录，acme.sh 对不同厂商有专用封装脚本（如 dns_dp 对应 DNSPod），但这些脚本默认不启用，需显式加载并配置凭证。

先确认服务商是否被支持：ls ~/.acme.sh/dnsapi/，常见有 dns_dp（DNSPod）、dns_ali（阿里云）、dns_cf（Cloudflare）
以 DNSPod 为例，需导出两个变量：export DP_Id="12345"、export DP_Key="xxxxxxxxxxxxxx"，ID 和 Key 在 DNSPod 控制台「API 密钥」里生成
执行命令时必须带 --dns dns_dp 参数：acme.sh --issue -d example.com -d *.example.com --dns dns_dp
国内 DNS 服务商（如阿里云、腾讯云）部分区域 API 接口不稳定，若超时失败，可加 --dnssleep 120 延长等待时间，确保 TXT 记录全球生效后再发起验证

证书自动续签后 Nginx 没 reload，HTTPS 还是旧证书？

acme.sh 默认只更新证书文件，不触发 Web 服务重载；certbot 的 --deploy-hook 或 systemd timer 也需手动配。最易忽略的是证书路径硬编码——acme.sh 把新证书放在 ~/.acme.sh/example.com/ 下，而 Nginx 配置里写的却是 /etc/letsencrypt/live/example.com/，两者完全无关。

acme.sh 续签后要部署到 Nginx 实际读取的位置，推荐用 --fullchainpath 和 --keypath 指定目标路径，例如：--fullchainpath /etc/nginx/ssl/example.com/fullchain.pem --keypath /etc/nginx/ssl/example.com/privkey.pem
加上 --reloadcmd "nginx -s reload"，确保每次续签成功后立刻生效
务必验证 cron 任务是否真在运行：systemctl list-timers | grep acme（acme.sh）或 sudo crontab -l | grep certbot，有些系统 cron 默认禁用 mail 通知，失败了你也收不到提醒