Debian 上 Nginx SSL 证书更新流程
一 准备与检查
- 确认域名解析已指向服务器，且防火墙放行 TCP 443。如使用云厂商安全组，同样需放通 443。
- 备份现有证书与密钥（可选但推荐）：
sudo cp /etc/ssl/certs/your_domain.crt /etc/ssl/certs/your_domain.crt.bak
sudo cp /etc/ssl/private/your_domain.key /etc/ssl/private/your_domain.key.bak
sudo chmod 600 /etc/ssl/private/your_domain.key
- 检查 Nginx 配置语法并准备热重载：
sudo nginx -t && sudo systemctl reload nginx
以上为后续更新操作的安全基线，可显著降低更新风险。
二 使用 Certbot 更新 Let’s Encrypt 证书
- 安装或更新 Certbot：
sudo apt update && sudo apt install certbot python3-certbot-nginx
- 为单个域名更新（会修改 Nginx 配置并自动重定向 HTTP→HTTPS）：
sudo certbot --nginx -d yourdomain.com
- 多个域名一次更新：
sudo certbot --nginx -d domain1.com -d domain2.com
- 如当前并非使用 Certbot 管理，可仅“获取/续期证书”而不改动 Nginx 配置：
sudo certbot certonly --nginx -d yourdomain.com
- 证书文件默认位于：/etc/letsencrypt/live/yourdomain.com/fullchain.pem（证书链）与 privkey.pem（私钥），更新后 Nginx 配置通常会自动指向这些路径。
Let’s Encrypt 证书有效期为 90 天，建议通过自动续期保持有效。
三 验证与生效
- 测试 Nginx 配置并热重载：
sudo nginx -t && sudo systemctl reload nginx
- 在线检测配置与链是否正确（如 SSL Labs 测试）。
- 浏览器访问 https://yourdomain.com 确认证书已更新（查看有效期）。
- 如需查看证书到期时间：
sudo certbot certificates
以上步骤确保新证书已加载且服务不中断。
四 设置自动续期
- 测试自动续期（模拟运行，不真正续期）：
sudo certbot renew --dry-run
- 生产环境常用做法：
- 使用系统定时任务（cron）定期执行续期，例如每 2 个月的 01:10 执行：
sudo crontab -e
10 1 1 */2 * certbot renew --pre-hook “systemctl stop nginx” --post-hook “systemctl start nginx”
说明：如使用 –standalone 验证模式需临时释放 443；若使用 –nginx 模式通常无需停服务。
- 某些安装方式下，Certbot 会自动创建定时任务；可用 sudo crontab -l 查看。
- 续期成功后，Certbot 会自动重载 Nginx 使新证书生效。
上述方法覆盖手动与自动两类续期路径，确保证书在到期前自动更新。
五 非 Let’s Encrypt 证书与常见问题
- 手动证书更新步骤：
- 将新证书与私钥复制到目标路径（如 /etc/ssl/certs/ 与 /etc/ssl/private/）；
- 修正私钥权限：sudo chmod 600 /etc/ssl/private/your_domain.key；
- 确认 Nginx 配置中 ssl_certificate 与 ssl_certificate_key 指向新文件；
- 测试并热重载：sudo nginx -t && sudo systemctl reload nginx。
- 常见问题排查：
- 权限错误：私钥应为 600；
- 配置错误：执行 sudo nginx -t 定位语法或路径问题；
- 端口占用：使用 –standalone 续期需确保 443 未被占用；
- 域名验证失败：确认 DNS 解析与 Web 根目录 /.well-known/acme-challenge/ 可访问。
以上流程适用于自购或其他 CA 证书，在路径与权限正确前提下即可完成无缝更新。