OneAPI SSL证书自动续签：Let‘s Encrypt与Certbot集成指南

OneAPI SSL证书自动续签：Let's Encrypt与Certbot集成指南

1. 为什么需要SSL证书自动续签

在部署OneAPI这样重要的大模型管理平台时，SSL证书的安全性至关重要。Let's Encrypt提供的免费SSL证书虽然性价比高，但每90天就需要手动续签一次，这对于运维人员来说是个不小的负担。

手动续签证书不仅耗时耗力，还容易出现疏忽导致证书过期。一旦证书过期，用户访问OneAPI时会看到安全警告，影响使用体验，甚至可能造成服务中断。通过Certbot实现自动续签，可以彻底解决这个问题，确保证书始终处于有效状态。

2. 准备工作与环境检查

在开始配置自动续签之前，我们需要先确保环境符合要求。OneAPI通常部署在Linux服务器上，这里以Ubuntu 20.04/22.04为例进行说明。

2.1 系统要求检查

首先确认你的系统满足以下条件：

• 正在运行的OneAPI服务
• 域名已正确解析到服务器IP
• 服务器开放了80和443端口
• 具有root或sudo权限

2.2 当前证书状态检查

使用以下命令检查现有证书情况：

# 检查是否已有SSL证书 sudo ls -la /etc/ssl/certs/ | grep yourdomain.com # 检查证书过期时间 sudo openssl x509 -noout -dates -in /path/to/your/certificate.crt

如果还没有配置SSL证书，或者证书即将过期，那么正是设置自动续签的好时机。

3. Certbot安装与配置

Certbot是Let's Encrypt推荐的证书管理工具，安装和配置都非常简单。

3.1 安装Certbot

通过以下步骤安装Certbot：

# 更新软件包列表 sudo apt update # 安装Certbot sudo apt install certbot python3-certbot-nginx -y # 验证安装 certbot --version

3.2 获取初始SSL证书

如果你还没有SSL证书，可以使用Certbot获取第一张证书：

# 为你的域名申请证书 sudo certbot certonly --nginx -d yourdomain.com -d www.yourdomain.com # 按照提示完成验证 # 输入邮箱用于紧急通知 # 同意服务条款

申请过程中，Certbot会自动验证域名所有权并签发证书。证书通常保存在/etc/letsencrypt/live/yourdomain.com/目录下。

4. 配置OneAPI使用SSL证书

获得证书后，需要配置OneAPI使用HTTPS协议。

4.1 修改Nginx配置

编辑OneAPI的Nginx配置文件：

sudo nano /etc/nginx/sites-available/oneapi

添加SSL相关配置：

server { listen 80; server_name yourdomain.com www.yourdomain.com; return 301 https://$server_name$request_uri; } server { listen 443 ssl; server_name yourdomain.com www.yourdomain.com; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; # SSL优化配置 ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384; ssl_prefer_server_ciphers off; location / { proxy_pass http://localhost:3000; # OneAPI默认端口 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } }

4.2 重启Nginx服务

配置完成后，重启Nginx使更改生效：

# 测试配置是否正确 sudo nginx -t # 重启Nginx sudo systemctl restart nginx

现在访问你的域名，应该可以看到安全的HTTPS连接了。

5. 设置自动续签任务

证书自动续签是通过cron任务实现的，让我们来设置这个自动化流程。

5.1 测试证书续签

首先手动测试续签是否正常工作：

# 测试续签（不会真的续签） sudo certbot renew --dry-run # 如果测试成功，进行实际续签 sudo certbot renew

5.2 创建自动续签脚本

创建自动续签脚本，并在续签后重启相关服务：

# 创建续签脚本 sudo nano /etc/letsencrypt/renewal-hooks/post/renew.sh

脚本内容：

#!/bin/bash echo "SSL证书续签完成，正在重启Nginx..." systemctl restart nginx echo "Nginx重启完成"

给脚本添加执行权限：

sudo chmod +x /etc/letsencrypt/renewal-hooks/post/renew.sh

5.3 添加cron任务

设置每天自动检查并续签证书：

# 编辑cron任务 sudo crontab -e

添加以下内容（每天凌晨2点检查续签）：

0 2 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl restart nginx"

5.4 验证cron任务

确认cron任务已正确添加：

# 查看当前cron任务 sudo crontab -l # 测试cron任务（可选） sudo run-parts --test /etc/cron.daily

6. 验证与故障排除

自动续签设置完成后，需要进行验证确保一切正常工作。

6.1 检查证书状态

使用以下命令验证证书状态：

# 检查证书详情 sudo certbot certificates # 检查证书过期时间 sudo openssl x509 -enddate -noout -in /etc/letsencrypt/live/yourdomain.com/cert.pem

6.2 测试自动续签

手动触发续签测试自动化流程：

# 强制续签（即使未到期） sudo certbot renew --force-renewal # 检查续签后服务状态 systemctl status nginx

6.3 常见问题解决

如果遇到问题，可以检查以下方面：

# 检查Certbot日志 tail -f /var/log/letsencrypt/letsencrypt.log # 检查Nginx错误日志 tail -f /var/log/nginx/error.log # 检查cron任务执行日志 grep CRON /var/log/syslog

常见问题解决方法：

• 权限问题：确保Certbot有足够的权限访问证书文件
• 端口冲突：确保80和443端口没有被其他程序占用
• 域名解析：确认域名正确解析到服务器IP

7. 安全加固建议

在完成自动续签配置后，还可以进一步加固SSL安全性。

7.1 增强SSL配置

在Nginx配置中添加更严格的安全设置：

ssl_session_timeout 1d; ssl_session_cache shared:SSL:50m; ssl_session_tickets off; ssl_stapling on; ssl_stapling_verify on; # 启用HSTS add_header Strict-Transport-Security "max-age=63072000" always;

7.2 定期安全检查

设置定期检查SSL配置的安全性：

# 使用SSL测试工具检查配置 # 安装testssl.sh git clone --depth 1 https://github.com/drwetter/testssl.sh.git # 测试SSL配置 testssl.sh/testssl.sh yourdomain.com:443

7.3 监控证书状态

设置证书过期监控，作为自动续签的备份方案：

# 创建监控脚本 sudo nano /usr/local/bin/check_ssl_expiry.sh

脚本内容：

#!/bin/bash DOMAIN="yourdomain.com" EXPIRY_DATE=$(echo | openssl s_client -servername $DOMAIN -connect $DOMAIN:443 2>/dev/null | openssl x509 -noout -enddate | cut -d= -f2) EXPIRY_EPOCH=$(date -d "$EXPIRY_DATE" +%s) CURRENT_EPOCH=$(date +%s) DAYS_LEFT=$(( ($EXPIRY_EPOCH - $CURRENT_EPOCH) / 86400 )) if [ $DAYS_LEFT -lt 10 ]; then echo "警告: $DOMAIN 的SSL证书将在 $DAYS_LEFT 天后过期" | mail -s "SSL证书过期警告" admin@yourdomain.com fi

8. 总结

通过本文的步骤，你已经成功为OneAPI配置了SSL证书自动续签功能。现在你的大模型管理平台不仅拥有安全的HTTPS连接，还免去了手动续签证书的烦恼。

自动续签系统会每天检查证书状态，在到期前自动续签并重启Nginx服务，确保证书始终有效。你还学会了如何监控证书状态和处理常见问题，进一步保证了服务的稳定性。

记得定期检查续签日志，确保自动化流程正常运行。这样你就可以专注于OneAPI的核心功能管理和优化，而不必担心证书过期的问题了。

获取更多AI镜像

想探索更多AI镜像和应用场景？访问 CSDN星图镜像广场，提供丰富的预置镜像，覆盖大模型推理、图像生成、视频生成、模型微调等多个领域，支持一键部署。