Let’s Encrypt泛域名证书与Nginx配置拆分全攻略

一、泛域名证书的核心价值

泛域名证书（Wildcard SSL）通过单张证书覆盖主域名及其所有子域名（如*.example.com），相比传统单域名证书具有显著优势：

成本优化：避免为每个子域名单独购买证书，尤其适合SaaS平台、多项目部署等场景。
管理简化：新增子域名时无需重新申请证书，降低运维复杂度。
灵活性提升：支持动态子域名（如按用户ID生成user123.example.com）。

Let’s Encrypt作为免费CA机构，通过ACME协议实现自动化证书管理，但其泛域名证书需通过DNS验证，需确保对域名DNS记录有完全控制权。

二、Let’s Encrypt泛域名证书申请全流程

1. 准备环境

服务器需安装certbot工具：

# Ubuntu/Debian
sudo apt install certbot python3-certbot-dns-cloudflare  # 以Cloudflare为例

配置DNS API凭证（以Cloudflare为例）：
1. 在Cloudflare控制台生成Global API Key。
2. 创建/etc/letsencrypt/cloudflare.ini文件：
```
dns_cloudflare_email = your@email.com
dns_cloudflare_api_key = YOUR_GLOBAL_API_KEY
```
3. 设置文件权限：
```
chmod 600 /etc/letsencrypt/cloudflare.ini
```

2. 申请泛域名证书

执行以下命令申请证书（以*.example.com为例）：

sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
  -d "example.com" -d "*.example.com" \
  --server https://acme-v02.api.letsencrypt.org/directory

参数说明：
- --dns-cloudflare：指定DNS验证插件。
- -d：指定主域名和泛域名。
- --server：使用ACME v2协议端点（泛域名证书必需）。

3. 证书自动续期配置

Let’s Encrypt证书有效期为90天，需设置自动续期：

# 编辑crontab
sudo crontab -e
# 添加每日检查任务（推荐凌晨3点执行）
0 3 * * * certbot renew --quiet --dns-cloudflare --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini

关键点：
- 使用--quiet避免输出干扰。
- 确保DNS API凭证持续有效。

三、Nginx配置拆分策略

1. 传统配置的痛点

传统单文件配置存在以下问题：

维护困难：数百行配置难以快速定位问题。
冲突风险：多项目配置混杂易导致端口/规则冲突。
部署低效：修改需重启整个Nginx服务。

2. 拆分方案设计

方案一：按功能模块拆分

/etc/nginx/
├── conf.d/          # 全局配置（如gzip、日志格式）
├── sites-available/ # 站点配置（软链接到sites-enabled）
│   ├── api.example.com.conf
│   ├── blog.example.com.conf
│   └── wildcard.example.com.conf  # 泛域名基础配置
└── sites-enabled/   # 启用中的站点（符号链接）

方案二：按环境拆分

/etc/nginx/
├── environments/
│   ├── prod/        # 生产环境配置
│   └── staging/     # 测试环境配置
└── includes/        # 公共片段（如SSL参数、负载均衡）

3. 泛域名配置示例

wildcard.example.com.conf基础配置：

server {
    listen 443 ssl http2;
    server_name *.example.com;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    include /etc/nginx/includes/ssl-params.conf;  # 安全优化参数
    # 默认拒绝未明确配置的子域名
    location / {
        return 404;
    }
}

子域名覆盖配置（如api.example.com）：

server {
    listen 443 ssl http2;
    server_name api.example.com;
    # 继承泛域名证书
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    location / {
        proxy_pass http://localhost:3000;
        include /etc/nginx/includes/proxy-params.conf;
    }
}

四、进阶优化技巧

1. 证书加载优化

使用ssl_stapling提升TLS性能：

# 在http上下文中配置
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

2. 动态子域名处理

结合通配符证书和正则匹配：

server {
    listen 443 ssl http2;
    server_name ~^(?<subdomain>.+)\.example\.com$;
    # 根据子域名路由到不同后端
    location / {
        if ($subdomain = "api") {
            proxy_pass http://api-backend;
        }
        if ($subdomain = "blog") {
            proxy_pass http://blog-backend;
        }
        # 默认处理
        return 404;
    }
}

注意：Nginx官方建议避免使用if，推荐使用map或独立server块实现。

3. 配置热加载

修改配置后无需重启Nginx：

sudo nginx -t  # 测试配置
sudo nginx -s reload  # 平滑重载

五、常见问题解决方案

1. DNS验证失败

现象：Certbot报错DNS problem: NXDOMAIN。
排查步骤：
1. 确认DNS记录已传播：dig TXT _acme-challenge.example.com。
2. 检查API凭证权限是否足够。
3. 确认域名未启用CNAME扁平化（部分DNS提供商限制）。

2. Nginx配置冲突

典型错误：99: cannot assign same listen port to different server_names。
解决方案：
- 确保listen指令组合唯一（如listen 443 ssl + server_name需区分）。
- 使用default_server参数明确指定默认服务器。

3. 证书续期失败

常见原因：
- DNS API凭证过期或权限不足。
- 达到Let’s Encrypt速率限制（每周50个新证书）。

应急措施：

# 手动指定证书路径续期
certbot renew --cert-name example.com

六、最佳实践总结

证书管理：
- 定期检查证书有效期：certbot certificates。
- 备份/etc/letsencrypt目录至安全位置。
配置规范：
- 每个server块配置不超过50行。
- 使用include指令复用公共配置。
监控告警：
- 设置监控检查HTTPS可用性（如Prometheus + Blackbox Exporter）。
- 配置日志轮转：/etc/logrotate.d/nginx。

通过合理应用Let’s Encrypt泛域名证书与Nginx配置拆分，可显著提升Web服务的安全性与可维护性。实际部署时需根据业务规模选择合适的拆分策略，并建立完善的证书生命周期管理流程。

Let's Encrypt泛域名证书与Nginx配置拆分全攻略