关于Nginx多域名Let（Let's Encrypt）的配置与使用，以下是基于全网专业技术资料的系统性解答：
Let's Encrypt 是由互联网安全研究组织（ISRG）提供的免费SSL证书服务，广泛用于网站加密。支持多域名（SAN）证书，允许一个证书覆盖多个域名，减少证书管理复杂度。配置Nginx以支持多域名SSL证书的核心步骤包括证书申请、Nginx配置、重定向设置及自动续期。
以下是Let's Encrypt多域名证书的典型技术要点：
| 步骤 | 操作说明 |
|---|---|
| 1. 域名验证 | 确保所有域名已正确解析到服务器IP，且DNS记录无误，这是证书签发的前置条件。 |
| 2. 生成CSR文件 | 使用Certbot生成带多个域名的CSR文件，格式如下：certbot certonly --dns-xxxx -d example.com -d www.example.com -d sub.example.org需确保域名列表完整，否则可能导致签发失败。 |
| 3. Nginx虚拟主机配置 | 每个域名需独立配置server块，示例：
server {
listen 443 ssl;
server_name example.com www.example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
}
若多个域名使用同一证书文件，需将证书路径统一指向SAN证书。 |
| 4. 强制HTTPS重定向 | 在HTTP端口配置重定向规则，确保流量强制跳转至HTTPS：
server {
listen 80;
server_name example.com www.example.com;
location / {
return 301 https://$host$request_uri;
}
}
|
| 5. 自动续期设置 | 通过定时任务执行续期脚本：
sudo crontab -e
添加：
0 0 * * * /usr/bin/certbot renew --quiet
确保Nginx配置文件已链接至续期后的证书路径。 |
需要注意的关键问题：
1. SAN证书格式要求：Let's Encrypt支持SAN（Subject Alternative Name）证书，但需在CSR中明确声明所有域名。生成时需使用-d参数指定域名列表，且最多包含100个域名。
2. 混合域名配置：若主域名和子域名共用证书，需确保server_name字段包含所有域名，否则可能触发证书不匹配错误。
3. 证书路径管理：Let's Encrypt证书通常存储于/etc/letsencrypt/live/目录，需根据实际域名路径调整ssl_certificate参数。
4. 通配符证书限制：Let's Encrypt不直接支持通配符证书（如*.example.com），可通过购买商业证书或使用第三方服务（如DigiCert）实现。
扩展建议：自动化部署工具如Certbot可简化证书申请与配置流程，支持standalone或webroot模式。在生产环境中推荐使用webroot模式以减少端口占用。
对比单域名与多域名证书的差异：
| 特性 | 单域名证书 | 多域名（SAN）证书 |
|---|---|---|
| 证书数量 | 1个证书 | 1个证书覆盖多个域名 |
| 签发限制 | 无限制 | 最多100个域名 |
| 证书文件大小 | 较小 | 稍大（包含多个域名信息） |
| 验证方式 | 需为每个域名单独验证 | 一次性验证所有域名 |
常见问题排查方法：
证书签发失败时，优先检查DNS解析是否正确。可使用dig或nslookup验证域名记录。此外，确保服务器防火墙开放443端口，并排除Nginx配置中的语法错误。
对于高流量场景，建议结合证书管理工具（如Certbot的renew-hook功能）实现证书自动更新与服务重启，避免手动干预导致的停机风险。
查看详情
查看详情
