Certbot 申请的 https 证书续期报错的解决方案

Alone 的个人博客 / 1 / 2 / 创建于 6年前 / 更新于 6年前

之前用 Certbot 申请了 Let's Encrypt 的免费 ssl 证书，前几天邮件提醒快到期了，可我明明记得加了定时任务去自动续期。
于是去看了下日志，发现执行 certbot renew 的时候报错了，手动执行也是同样的报错，大致错误如下：

Could not choose appropriate plugin: The manual plugin is not working; there may be problems with your existing configuration. The error was: PluginError('An authentication script must be provided with --manual-auth-hook when using the manual plugin non-interactively.',). Skipping.

搜索后得知是因为验证域名所有者失败，没有指定 --manual-auth-hook 参数。
Let's Encrypt 有多种验证方式，常用的有 http 和 dns 方式，由于我是在 homestead 虚拟机里面申请的证书，无法使用 http 方式，所以之前申请证书用的是 dns 方式，也就是创建 TXT 记录。
我用的是 DNSPod，便根据 DNSPod 提供的 API 自己写了一个脚本，这里分享给大家。

Certbot DNS Authenticator For DNSPod #

Installing#

$ wget https://raw.githubusercontent.com/al-one/certbot-auth-dnspod/master/certbot-auth-dnspod.sh
$ chmod +x certbot-auth-dnspod.sh

Config#

Get Your DNSPod Token From https://www.dnspod.cn/console/user/securit...

Token Format: ID,Token See: https://www.dnspod.cn/docs/info.html#commo...

$ export DNSPOD_TOKEN="your dnspod token"

$ echo "your dnspod token" > /etc/dnspod_token

$ echo "your dnspod token" > /etc/dnspod_token_$CERTBOT_DOMAIN
# echo "your dnspod token" > /etc/dnspod_token_laravel.run

Usage#

$ certbot certonly --manual --preferred-challenges dns-01 --email mail@domain.com -d laravel.run -d *.laravel.run --server https://acme-v02.api.letsencrypt.org/directory --manual-auth-hook /path/to/certbot-auth-dnspod.sh

$ certbot renew --manual-auth-hook /path/to/certbot-auth-dnspod.sh

or add crontab

0 2 1 * * sh -c 'date "+\%Y-\%m-\%d \%H:\%M:\%S" && /usr/bin/certbot renew --manual-auth-hook /path/to/certbot-auth-dnspod.sh' >> /var/log/certbot-renew.log 2>&1

本作品采用《CC 协议》，转载必须注明作者和本文链接

讨论数量: 2

Alone

课程读者 24 声望

推荐使用 dns-01 方式，请参考：

翻译：Let’ s Encrypt 现支持通配符的 HTTPS 认证

6年前评论

maht

0 声望

按照步骤来弄的，报这个错误
SSLError: HTTPSConnectionPool (host='acme-v02.api.letsencrypt.org', port=443): Max retries exceeded with url: /directory (Caused by SSLError (SSLError ("bad handshake: Error ([('SSL routines', 'tls_process_server_certificate', 'certificate verify failed')],)",),))，这个是什么原因呢

5年前评论

Alone （楼主）

检查系统CA证书是否存在。Debian/Ubuntu系统尝试执行sudo apt-get install --reinstall ca-certificates

maht （作者）

@Alone 我的操作系统是CentOS Linux release 7.6.1810，虚拟机

@maht sudo update-ca-trust

@maht sudo curl https://curl.haxx.se/ca/cacert.pem -o /etc/pki/tls/certs/ca-bundle.crt

@Alone还是一样的错误。。。

@Alone 这个错误和python有关系么

@maht curl -I https://acme-v02.api.letsencrypt.org 把结果贴出来看一下

@Alone [root@docker bin]# curl -I https://acme-v02.api.letsencrypt.org curl: (60) Peer's Certificate has expired. More details here: http://curl.haxx.se/docs/sslcerts.html curl performs SSL certificate verification by default, using a "bundle" of Certificate Authority (CA) public keys (CA certs). If the default bundle file isn't adequate, you can specify an alternate file using the --cacert option. If this HTTPS server uses a certificate signed by a CA represented in the bundle, the certificate verification probably failed due to a problem with the certificate (it might be expired, or the name might not match the domain name in the URL). If you'd like to turn off curl's verification of the certificate, use the -k (or --insecure) option. [root@docker bin]# curl -I -k https://acme-v02.api.letsencrypt.org HTTP/1.1 200 OK Server: nginx Content-Type: text/html Content-Length: 2174 Last-Modified: Fri, 02 Feb 2018 23:46:37 GMT ETag: "5a74f85d-87e" X-Frame-Options: DENY Strict-Transport-Security: max-age=604800 Accept-Ranges: bytes Expires: Wed, 03 Jul 2019 08:21:38 GMT Cache-Control: max-age=0, no-cache, no-store Pragma: no-cache Date: Wed, 03 Jul 2019 08:21:38 GMT Connection: keep-alive

@maht 检查系统时间

@Alone 我是为了模拟一下，能生成证书，特意调整的系统时间，如果时间调整为正常时间，就生成不了证书

@maht 时间不对会导致ssl证书验证失败

@Alone 那就是没有办法测试了吗

@Alone ./certbot-auto renew --force-renewal --manual-auth-hook ./certbot-auth-dnspod.sh 可以了。应该就是时间问题，多谢

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容，与人为善，比聪明更重要！

帮助

Certbot 申请的 https 证书续期报错的解决方案

Certbot DNS Authenticator For DNSPod #

Installing#

Config#

Usage#

推荐文章：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

Certbot 申请的 https 证书续期报错的解决方案

Certbot DNS Authenticator For DNSPod#

Installing#

Config#

Usage#

推荐文章：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

请登录

Certbot DNS Authenticator For DNSPod #