bastidest/nginx-letsencrypt

自动续期Let's Encrypt证书的nginx Docker镜像

该镜像处理Let's Encrypt证书续期，并确保nginx使用新证书。它不对您的项目做任何假设。

此容器不提供任何nginx配置。您负责暴露Let's Encrypt挑战，并且您需要确保在nginx配置中使用这些证书。

镜像内的重要文件位置：

• /etc/nginx/nginx.conf：nginx配置文件
• /etc/letsencrypt/live/<your-domain>/fullchain.pem：包含证书链的公钥证书
• /etc/letsencrypt/live/<your-domain>/privkey.pem：私钥
• /app/le-challenge：certbot挑战文件存放位置

其中 <your-domain> 是 NGINX_LE_DOMAINS 中逗号分隔域名列表的第一个域名。

配置与使用

可查看 docker-compose.yml 文件获取示例。

环境变量

使用环境变量控制容器行为：

Nginx配置

您需要将 /.well-known/acme-challenge 请求转发到文件系统 (/app/le-challenge)。可在nginx配置的 http 块中添加以下配置：

conf
server {
    listen 80;
    server_name <your-domain>;

    location ^~ /.well-known/acme-challenge/ {
       root /app/le-challenge;
    }

    # 可选：强制http->https重定向
    location / {
      return 301 https://$host$request_uri;
    }
}

常见问题

Q: 工作原理是什么？

1. 若不存在证书，创建自签名证书
2. 启动nginx
3. Certbot将挑战文件放置在 /etc/letsencrypt/...
4. nginx响应Let's Encrypt的挑战请求
5. Certbot删除自签名证书并替换为正式证书
6. 重载nginx

您可通过查看不到10行的 Dockerfile 和不到200行的 start.sh 脚本了解具体工作方式。

Q: 证书何时续期？

脚本每天请求 certbot 更新证书，但 certbot 仅在证书30天内过期时才会更新。

Q: 如何自定义脚本？

1A: 从Docker镜像提取脚本：

bash
docker run -d --name foo --rm bastidest/nginx-letsencrypt tail -f /dev/null
docker cp foo:/app/start.sh .
docker kill foo

1B: 从git/GitHub下载脚本

2: 根据需求修改脚本

3A: 使用修改后的脚本创建自定义Dockerfile

Dockerfile
FROM bastidest/nginx-letsencrypt
COPY ./start.sh /app/start.sh

3B: 将脚本挂载到容器中（docker-compose）

yml
version: '3.7'
services:
  nginx:
    image: bastidest/nginx-letsencrypt
    volumes:
      - ./start.sh:/app/start.sh:ro