五年前Let‘s Encrypt还不支持泛域名证书，我这个懒人为了省事，一下子买了五年的wildcard证书。截止到2020年7月22日，Let’s Encrypt已经有近六千四百万活跃的域名，有一亿三千六百万个证书，每天签发近一百五十万次。最重要的是证书全部是免费的，经过这几年的发展，Let‘s encrypt已经是目前互联网最重要的组织之一。而且周边和教程都已经非常成熟了，客户端就有几十种。我的网站要求就两点，一是能支持签发和续签widlcard证书，第二就是要使用简单，最终综合比较了一下选择了Lego。

Lego是Go语言写的，使用之前要先安装GoLang。

一、安装GoLang
从官网下载go语言相应版本的客户端，解压安装即可，需要注意以下两点:

  1. Linux系统下不要安装多个版本的GO
  2. 需要正确设置GOROOT和环境变量。

不然编译lego会有很多错误，例如go的解压后的目录在/usr/local/go,设置如下：

export GOROOT=/usr/local/go
export PATH=$PATH:$GOROOT/bin/

将这两条设置放到profile或者bash_profile中即可，和JDK设置类似，这里不需要多说。

二、编译Lego
编译就比较简单了，两条命令即可：

git clone https://github.com/go-acme/lego
cd lego && make build

等待执行完，编译好的文件在dist目录下，复制到PATH里就可以直接用了。

三、签发和续签证书
使用超级简单，签发和续签一条命令即可。泛域名证书只能通过dns验证，需要域名NS的api key，具体支持的ns厂商可以通过：

lego dnshelp

查看需要设置的参数：

lego dnshelp -c dnspod

签发需要先设置api，dnspod完整的API Token是由 ID,Token 组合而成，用英文的逗号分割：

export DNSPOD_API_KEY="ID_xxxx,Token_xxxxxx"
export DNSPOD_HTTP_TIMEOUT="300"

签发：

lego --email="will@nixops.me" --domains="nixops.me" --domains="*.nixops.me" --accept-tos --path=/tmp/lego/ --dns="dnspod"  --dns.resolvers="8.8.8.8" run

--run-hook: 签发成功后执行的命令或脚本

续签：

lego --email="will@nixops.me" --domains="nixops.me" --domains="*.nixops.me" --accept-tos --path=/tmp/lego --dns="dnspod" renew --reuse-key

--reuse-key: 不重新生成私钥
--renew-hook: 续签成功后执行的命令或脚本，如替换证书，reload服务
--days: 可以指定提前续期的天数

四、自动签发和续签脚本 

#!/bin/bash

lego_bin=/root/lego/lego
save_path=/usr/local/keys/
account_email="will@nixops.me"

export DNSPOD_API_KEY="ID_xxxx,Token_xxxxxx"
export DNSPOD_HTTP_TIMEOUT="300"


case $1 in

run)
    $lego_bin --email="$account_email" --domains="*.$2" --domains="$2" --accept-tos --path=$save_path --dns="dnspod"  --dns.resolvers="1.1.1.1" run --run-hook="`readlink -f $0` reload"  >>/var/log/letencrypt.log
;;

renew)
    for domain in `$lego_bin  --path=$save_path list -n` ; do
    $lego_bin --email="$account_email" --domains="*.$domain" --domains="$domain" --accept-tos --path=$save_path --dns="dnspod" renew --reuse-key --renew-hook="`readlink -f $0` reload" >>/var/log/letencrypt.log 
done
;;

reload)
    cp -f $save_path/certificates/*.crt /usr/local/openresty/nginx/conf/vhosts/keys/
    cp -f $save_path/certificates/*.key /usr/local/openresty/nginx/conf/vhosts/keys/
    rm -rf /usr/local/openresty/nginx/conf/vhosts/keys/*.issuer.crt
    /usr/local/openresty/bin/openresty -s reload
   ;;

*)
   echo "黙认签发泛域名证书，只写根域名即可"
   echo "证书保存在 $save_path"
   echo "用法: 1. 签发证书 $0 run nixops.me"
   echo "用法: 2. 续签证书 $0 renew "
   echo "用法: 3. 复制证书，reload服务 $0 reload"
   
;;
esac

将以上脚本加入crontab中，每天执行一次renew:

crontab -e
15 3  * * * /usr/local/bin/ssl.sh renew nixops.me >>/dev/null 2>&1

最后不得不说，DNSPOD、namesilo的ns太渣了，默认解析TTL太长导致dns验证的签发和续签都太慢，失败太常见了，成功才是偶然。付费的ns一般都比较稳定，例如aws的router53能在2分钟内签发完成,免费ns测试cloudflare不错，其它的没有测试过。