Как выдавать бесплатные SSL сертификаты с помощью certbot, Nginx и Docker

letsencrypt просит запускать обновления в случайное время, чтобы выровнять нагрузку серверов.

Посмотрите в сторону Traefik. Для локальной разработки генерация сертификатов через mkcert работает. Для прода прекрасно traefik и его резолвер letsencrypt работает.

Вот проблема "не системных администраторов" в том, что они описывают, а может и видят только часть картины.

А что насчёт DNS? Оно само себя настроит? Что насчёт доступа сервера наружу? И я молчу про то, что мы пихаем все в матрешку-докер.. для чего? Для однородности? Ну так обычно облачные проекты и так висят на одной версии Linux. Поставить nginx всегда можно и на локальную систему. Как и certbot прекрасно выдает серты по одной команде.

Очень не понравилось решение из статьи.

1. Не тратим время и запускаем сертбот в стендэлон режиме, который сам будет веб сервером для проверки типа http-01

2. Не тратим время и не собираем мусор в наших системах, запускаем сертбота в энтрипоинте офф контейнера

5. Не дрочим в консоли 10 команд, а выполняем одну docker compose up -d

7. Не распыляемся на возможно отсутствующий сервис в системе и запускаем сертбот в контейнере с циклическим слипом.
Не прерываем обслуживание наших клиентов на замену ссл сертификата, а перечитываем конфиг нджинкса.

Ну и файл docker-compose.yaml, который всё это реализует:

---
version: "3"
services:
  init-dhparams:
    image: docker.io/certbot/certbot
    restart: "no"
    entrypoint: /bin/sh
    command: -c 'test -f /etc/letsencrypt/ssl-dhparams.pem || openssl dhparam -out /etc/letsencrypt/ssl-dhparams.pem 4096'
    volumes:
      - cert_volume:/etc/letsencrypt:Z
  certbot-oneshot:
    image: docker.io/certbot/certbot
    restart: "no"
    entrypoint: /bin/sh
    command: -c 'test -d /etc/letsencrypt/live/${STAND:-dev99}.${BASE_DOMAIN:-example.ru} || certbot certonly --standalone --register-unsafely-without-email -d "${STAND:-dev99}.${BASE_DOMAIN:-example.ru},sub1.${STAND:-dev99}.${BASE_DOMAIN:-example.ru}" --rsa-key-size ${rsa_key_size:-2048} --agree-tos --force-renewal'
    ports:
      - 80:80
    volumes:
      - cert_volume:/etc/letsencrypt:Z
  nginx:
    image: docker.io/library/nginx
    entrypoint: /bin/sh
    command: -c 'while :; do sleep 6h && wait $${!}; nginx -s reload; done & nginx -g "daemon off;"'
    configs:
      - source: nginx-defaultserver
        target: /etc/nginx/conf.d/default.conf
    # deploy:
    #   replicas: 2
    ports:
      - 80:80
      - 443:443
    depends_on:
      init-dhparams:
        condition: service_completed_successfully
        required: true
      certbot-oneshot:
        condition: service_completed_successfully
        required: true
    volumes:
      - cert_volume:/etc/letsencrypt:Z
      - acme_challenge:/usr/share/nginx/html/.well-known:Z
  certbot:
    image: docker.io/certbot/certbot
    entrypoint: /bin/sh
    command: -c 'trap exit TERM; while :; do certbot renew; sleep 24h && wait $${!}; done;'
    depends_on:
      nginx:
        condition: service_started
        required: true
    volumes:
      - cert_volume:/etc/letsencrypt:Z
      - acme_challenge:/usr/share/nginx/html/.well-known:Z

volumes:
  cert_volume: {}
  acme_challenge: {}

configs:
  nginx-defaultserver:
    content: |
      upstream back {
        server back-api:8000;
        resolver 127.0.0.11 valid=30s;
        resolver_timeout 5s;
      }

        server {
                server_name _ default_server;
                listen       443 ssl http2;

        # мы уже примонтировали сертификаты в Docker Compose
                ssl_certificate     /etc/letsencrypt/live/${STAND:-dev99}.${BASE_DOMAIN:-example.ru}/cert.pem;
                ssl_certificate_key /etc/letsencrypt/live/${STAND:-dev99}.${BASE_DOMAIN:-example.ru}/key.pem;

                location / {
                        proxy_pass http://back;
                }
        }

      server {
        listen 80;

        server_name _ default_server;
        charset utf-8;

        # max upload size
        client_max_body_size 10M;

        root /usr/share/nginx/html;
        index index.html index.htm;

        location / {
          root /usr/share/nginx/html;
          try_files $uri $uri/ /index.html =502;
        }

        error_page 500 502 503 504 /502.html;
        location = /502.html {
          root /usr/share/nginx/html;
          internal;
        }

        # Django project's static files
        location /static {
          proxy_pass https://back;
          expires max;
          etag on;
        }

        # send REST API request to Django
        location /api {
          proxy_pass https://back;
          proxy_pass_header X-CSRFToken;
          proxy_pass_header X-RecaptchaResponse;
          proxy_set_header X-Forwarded-Proto $scheme;
        }

      }

8. Заключение, статья мусор, больше половины выкинуть.

Для автоматизации получения сертификатов использую это https://github.com/nginx-proxy/acme-companion и это https://github.com/nginx-proxy/nginx-proxy

Компаньон отвечает за получение и продление сертификатов, nginx-proxy генерирует конфиги.

много лет юзаю nginx-le.. https://hub.docker.com/r/umputun/nginx-le

Выше писали про траефик и про проблему статьи, в части того, что она не решает внешний вопрос с днс. Траефик умеет и сертификаты и днс и крон.

1 Nginx Proxy Manager https://nginxproxymanager.com/

2 >Кстати, я разработал мониторинг сайтов. Если сайт упал, он шлёт уведомление в Telegram. И умеет заранее предупреждать об истечении SSL сертификата.

https://github.com/louislam/uptime-kuma