转载至：http://www.up4dev.com/2018/05/29/synology-ssl-wildcard-cert-update/ <p>曾经写过一篇文章介绍如<span class="external-link"><a href="http://www.up4dev.com/2017/09/11/synology-ssl-cert-update/" target="_blank">何在群晖的 NAS 通过 acme 协议更新 Let’s Encrypt 的 HTTPS 证书<i data-feather='external-link'></i></a></span>。目前acme协议版本更新，开始支持泛域名(wildcard)，也就是说，可以申请一个类似<code>*.domain.com</code>的单一证书，就可以适配<code>abc.domain.com</code>，<code>xyz.domain.com</code>这类的子域名，而不需要单独为每个子域名申请证书了。</p> <p><a href="https://github.com/acmesh-official/acme.sh" target="_blank" rel="external"><strong>acmesh-official/acme.sh</strong></a> 工具已经支持新的协议，我这篇文章就是在这个工具的基础上，实现泛域名的自动更新。为了减少复杂度，我编写了一个一键更新的懒人脚本，来帮助没有时间了解详细原理的同学快速部署。</p> <a id="more"></a> <h2 id="1-准备工作"><a href="#1-准备工作" class="headerlink" title="1. 准备工作"></a>1. 准备工作</h2><p>因为我介绍的方法是一键替换群晖的默认证书，所以，为了防止意外，最好保证你的证书列表里只有一条记录，即默认证书那一条。实际上因为支持了泛域名证书，基本上这一条记录就足够用了（当然，如果你要管理多个域名，可能本文的方法并不适用）。开始工作前你的证书列表大概应该是这个样子：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/cert-list.png" alt=""></p> <h2 id="2-下载一键更新脚本"><a href="#2-下载一键更新脚本" class="headerlink" title="2. 下载一键更新脚本"></a>2. 下载一键更新脚本</h2><p>这是一键脚本的项目地址：<a href="https://github.com/andyzhshg/syno-acme" target="_blank" rel="external">andyzhshg/syno-acme</a>。</p> <p>如果你对项目本身不感兴趣，可以直接下载打包好的工具：<a href="https://github.com/andyzhshg/syno-acme/archive/v0.2.1.zip" target="_blank" rel="external">syno-acme v0.2.1</a>。</p> <p>可以通过 File Station 将下载的工具上传到NAS的任意目录下，并解压。</p> <p>解压后大概是这个样子：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/unzip.png" alt="解压"></p> <h2 id="3-配置脚本参数"><a href="#3-配置脚本参数" class="headerlink" title="3. 配置脚本参数"></a>3. 配置脚本参数</h2><p>编辑脚本的配置文件<code>config</code>:</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/config.png" alt="配置"></p> <p>如图所示，需要编辑的几个字段我用蓝框标记出来了。</p> <p>首先是DOMAIN，也就是你的域名。</p> <p>然后是DNS的类型，根据服务商的不同，DNS类型各不相同，比如阿里云（dns_ali），Dnspod（dns_dp），Godaddy（dns_gd）等。</p> <p>最后要根据不同的域名服务商提供的授权密钥等信息，比如我的域名服务商是阿里云，我需要编辑<code>Ali_Key</code>和<code>Ali_Secret</code>字段，字段的内容需要到域名服务商的管理后台来查看，因为不同的服务商的查看方式不同，请大家根据自己的实际情况去查找。</p> <p>需要指出的是，我给出的配置文件模板并没有给出所有acme.sh支持的域名服务商，大家可以参照 <a href="https://github.com/acmesh-official/acme.sh/tree/master/dnsapi" target="_blank" rel="external">https://github.com/acmesh-official/acme.sh/tree/master/dnsapi</a>来添加自己的配置。一般情况下，这个页面每个文件对应一个域名服务商，比如<code>dns_ali.sh</code>就是对应阿里云，文件名去掉<code>.sh</code>扩展名就是DNS类型，比如阿里云的DNS类型就是<code>dns_ali</code>。打开对应文件， 一般都可以在文件的头部找到需要设置的授权信息对应的密钥，比如阿里云的授权密钥所在的位置如下图所示：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/apikey.png" alt="APIKEY"></p> <p><code>config</code>模板中没有的服务商，请大家自行完善。</p> <p>[^2018.05.31]: 针对评论区同学提出的 Linode 的 API 生效时间的问题，增加了一个配置参数<code>DNS_SLEEP</code>，出现类似问题的话可以通过修改增大这个参数来解决。</p> <h2 id="4-配置定时任务"><a href="#4-配置定时任务" class="headerlink" title="4. 配置定时任务"></a>4. 配置定时任务</h2><h3 id="i-查找脚本路径"><a href="#i-查找脚本路径" class="headerlink" title="i. 查找脚本路径"></a>i. 查找脚本路径</h3><p>在 File Station 中定位到下载的一键脚本的目录，查看该脚本的绝对路径：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/file-info.png" alt=""></p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/file-path.png" alt=""></p> <p>复制完整的绝对路径到剪贴板。</p> <h3 id="ii-创建定时任务"><a href="#ii-创建定时任务" class="headerlink" title="ii. 创建定时任务"></a>ii. 创建定时任务</h3><p>打开 <code>控制面板 / 任务计划 / 新增 / 计划的任务 / 用户自定义的脚本</code>：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/task.png" alt=""></p> <p>设置任务名称和操作用户，需要注意的是这里一定要选择<code>root</code>：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/task-name.png" alt=""></p> <p>设置计划的时间和周期，这里只支持按月或者年重复，我们只能取按月重复才能满足 Let’s Encrypt 至少3个月更新一次的要求：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/task-inv.png" alt=""></p> <p>设置执行脚本，这里我们将脚本的输出重定向到了一个<code>log.txt</code>的文件中，以方便后期查看脚本的执行情况：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/task-cmd.png" alt=""></p> <p>上图红框中的脚本命令为(注意没有换行)：</p> <figure class="highlight bash"><table><tr><td class="gutter"><pre><div class="line">1</div></pre></td><td class="code"><pre><div class="line">/volume1/nas_share/certs/syno-acme/cert-up.sh update >> /volume1/nas_share/certs/syno-acme/log.txt 2>&1</div></pre></td></tr></table></figure> <p>具体的路径是步骤 <code>i</code>中复制的路径。</p> <h3 id="iii-试运行脚本"><a href="#iii-试运行脚本" class="headerlink" title="iii. 试运行脚本"></a>iii. 试运行脚本</h3><p>可以在新建的任务上点击右键立即执行任务：</p> <p><img src="http://s3.up4dev.com:38080/blog/nas-cert-up/task-run.png" alt=""></p> <p>这样脚本就会运行，自动更新证书，并重启web服务器加载新的脚本。以后，NAS会每隔一个月执行一次该脚本，自动更新证书。</p> <h3 id="iv-回滚"><a href="#iv-回滚" class="headerlink" title="iv. 回滚"></a>iv. 回滚</h3><p>脚本里提供了回滚命令，可以通过ssh登录到nas，定位到对应目录，执行如下命令回滚证书目录到备份的状态：</p> <figure class="highlight bash"><table><tr><td class="gutter"><pre><div class="line">1</div></pre></td><td class="code"><pre><div class="line">/volume1/nas_share/certs/syno-acme/cert-up.sh revert</div></pre></td></tr></table></figure> <h2 id="总结"><a href="#总结" class="headerlink" title="总结"></a>总结</h2><p>这个一键脚本的特点是最小限度的触碰系统文件，仅<code>/usr/syno/etc/certificate/_archive</code>目录会被更改。<code>acme.sh</code>工具随用随时下载，保持最新，用完即删除，不占用磁盘空间。</p> <p>这基本就是本文的全部了，如果大家使用中遇到问题，可以在这里留言或者到 <a href="https://github.com/andyzhshg/syno-acme/issues" target="_blank" rel="external">https://github.com/andyzhshg/syno-acme/issues</a> 提issue。</p> <hr> <p>[^参考1]: <a href="https://github.com/Neilpang/acme.sh/wiki/Synology-NAS-Guide" target="_blank" rel="external">Synology NAS Guide</a><br>[^参考2]: <span class="external-link"><a href="http://www.up4dev.com/2017/09/11/synology-ssl-cert-update/" target="_blank">群晖 Let’s Encrypt 证书的自动更新<i data-feather='external-link'></i></a></span></p> WMI Scripting HTML 当前访问者IP地址及地址归属： Last modification：March 2nd, 2021 at 10:55 pm © 允许规范转载 Support 如果觉得我的文章对你有用，请随意赞赏 ×Close Appreciate the author Sweeping payments