Qnap Docker Station 建立 nginx-certbot 容器應用，幫您自動延展 letsencrypt 免費 https 憑證

大分類
Infra
By Mark.Ku
nginx-certbot https letsencrypt

解決問題

先前有透過 windows certbot 申請免費的 https 憑證，但每三個月都要手動延展一次，很不方便，但透過 nginx-certbot 容器應用，可以自動延展 https 憑證。

開發環境

  • 採用 QNAP TS-253D 的 Container Station

安裝方式

1. 建立 > 搜尋 採用docker hub 上的 “staticfloat/nginx-certbot” 映像檔 > 安裝

2. 依據以下面表格 掛載資料夾 ( Docker Volume )

掛載資料夾用途 NAS 掛載資料夾位置 容器對映路徑
nginx 設定檔路徑 /share/Container/data/proxy-protocol /etc/nginx/conf.d
letsencrypt log /share/Container/data/proxy-protocol/log /var/log/letsencrypt
己申請的 letsencrypt 舊憑證目錄 Container/data/proxy-protocol/letsencrypt /etc/letsencrypt
nginx 網頁預設目錄 /usr/share/nginx/html Container/data/proxy-Container/data/proxy-protocol/web

3. 環境變數

CERTBOT_EMAIL => 當初申請 https 憑證的 email

4. 將先前申請的憑證放置到指定位置

5. 撰寫 nginx 設定檔，

upstream frp {
	server 34.80.106.95:80;  # 这个是frp_server的内网ip和http监听端口
}

server
	{
	
	listen 443 ssl http2 proxy_protocol;
	listen [::]:443 ssl http2;
	server_name www.letgo.com.tw; # local server ip

	set_real_ip_from 172.31.0.1; # frp client ip
	real_ip_recursive on;
	real_ip_header  proxy_protocol;


	    ssl_certificate     /etc/letsencrypt/live/www.letgo.com.tw/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/www.letgo.com.tw/privkey.pem;
	
	ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;

	ssl_ciphers EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
	ssl_prefer_server_ciphers on;
	ssl_session_cache shared:SSL:10m;
	ssl_session_timeout 10m;
	add_header Strict-Transport-Security "max-age=31536000";	

	location / {
		proxy_set_header Host $host;
		proxy_set_header X-Real-IP $remote_addr;
		proxy_set_header X-Forwarded-For $proxy_protocol_addr;		
		proxy_set_header X-Forwarded-Proto $scheme;
		proxy_pass http://192.168.50.52:8890/; # your local application ip
	}
}

6. 啟動容器應用，則會每週檢查，並自動幫你延展免費的 https 憑證。

備註

  • letsencrypt 資料夾不能亂刪，否則下次更新會失敗。
  • 我的網路架構有用 frp，frp 不能區分 http 及 https ，會自動昇級 https，因此第一次 http 挑戰，我是移到 IIS 驗證。