lsiodev/letsencrypt

linuxserver/letsencrypt

![]([] !Docker Pulls !Docker Stars ![Build Status]([] ![]([***]

Let's Encrypt 镜像搭建了带有PHP支持的Nginx web服务器和反向代理，内置Let's Encrypt客户端，可自动完成免费SSL服务器证书的生成和续期流程。同时包含fail2ban入侵防御工具。

https://raw.githubusercontent.com/linuxserver/docker-templates/master/linuxserver.io/img/le-logo-wide.png]([***]

支持的架构

本镜像支持多种架构，如x86-64、arm64和armhf。我们利用Docker manifest实现多平台识别。更多信息可参考Docker https://github.com/docker/distribution/blob/master/docs/spec/manifest-v2-2.md#manifest-list%E5%92%8C%E6%88%91%E4%BB%AC%E7%9A%84%E5%85%AC%E5%91%8A%E3%80%82

直接拉取 linuxserver/letsencrypt 即可获取适合您架构的正确镜像，也可通过标签拉取特定架构的镜像。

本镜像支持的架构：

使用方法

以下是帮助您开始创建容器的示例代码片段。

docker

docker create \
  --name=letsencrypt \
  --cap-add=NET_ADMIN \
  -e PUID=1000 \
  -e PGID=1000 \
  -e TZ=Europe/London \
  -e URL=yourdomain.url \
  -e SUBDOMAINS=www, \
  -e VALIDATION=http \
  -e DNSPLUGIN=cloudflare `#可选` \
  -e DUCKDNSTOKEN=token `#可选` \
  -e EMAIL=e-mail `#可选` \
  -e DHLEVEL=2048 `#可选` \
  -e ONLY_SUBDOMAINS=false `#可选` \
  -e EXTRA_DOMAINS=extradomains `#可选` \
  -e STAGING=false `#可选` \
  -p 443:443 \
  -p 80:80 `#可选` \
  -v /path/to/appdata/config:/config \
  --restart unless-stopped \
  linuxserver/letsencrypt

docker-compose

兼容docker-compose v2架构。

---
version: "2"
services:
  letsencrypt:
    image: linuxserver/letsencrypt
    container_name: letsencrypt
    cap_add:
      - NET_ADMIN
    environment:
      - PUID=1000
      - PGID=1000
      - TZ=Europe/London
      - URL=yourdomain.url
      - SUBDOMAINS=www,
      - VALIDATION=http
      - DNSPLUGIN=cloudflare #可选
      - DUCKDNSTOKEN=token #可选
      - EMAIL=e-mail #可选
      - DHLEVEL=2048 #可选
      - ONLY_SUBDOMAINS=false #可选
      - EXTRA_DOMAINS=extradomains #可选
      - STAGING=false #可选
    volumes:
      - /path/to/appdata/config:/config
    ports:
      - 443:443
      - 80:80 #可选
    restart: unless-stopped

参数

容器镜像通过运行时传递的参数进行配置（如上所示）。这些参数用冒号分隔，表示外部:内部。例如，-p 8080:80会将容器内的80端口暴露出来，通过主机IP的8080端口访问。

用户/组标识符

使用卷（-v标志）时，主机OS和容器之间可能出现权限问题。通过指定用户PUID和组PGID可避免此问题。

确保主机上的任何卷目录都由您指定的相同用户拥有，权限问题将迎刃而解。

此处PUID=1000和PGID=1000，可通过id user命令查找您的ID：

  $ id username
    uid=1000(dockeruser) gid=1000(dockergroup) groups=1000(dockergroup)

 

应用设置

验证和初始设置

• 运行此容器前，确保域名和子域名已正确转发到容器主机，且端口443（和/或80）未被主机上的其他服务占用（如NAS界面、其他web服务器等）。
• 对于http验证，路由器互联网侧的80端口应转发到容器的80端口。
• 对于tls-sni验证，路由器互联网侧的443端口应转发到容器的443端口。
• 对于dns验证，确保将凭据填入/config/dns-conf下对应的ini文件。
  • Cloudflare提供免费DNS管理账户，易于与此镜像配合使用。确保设置为"仅DNS"而非"DNS+代理"。
  • Google dns插件用于"Google Cloud DNS"（付费企业产品），而非"Google Domains DNS"。
• 对于duckdns验证，SUBDOMAINS变量需为空或设为wildcard，并将DUCKDNSTOKEN变量设为您的duckdns token。由于duckdns限制，生成的证书仅覆盖主域名（如yoursubdomain.duckdns.org）或子子域名（如*.yoursubdomain.duckdns.org），无法同时覆盖。可使用https://hub.docker.com/r/linuxserver/duckdns/%E6%9B%B4%E6%96%B0duckdns.org%E4%B8%8A%E7%9A%84IP%E3%80%82
• --cap-add=NET_ADMIN是fail2ban修改iptables所必需的。
• 如需动态DNS提供商，可使用免费的duckdns.org，此时URL为yoursubdomain.duckdns.org，SUBDOMAINS可设为www,ftp,cloud（http验证）或wildcard（dns验证）。
• 设置完成后，通过https://yourdomain.url访问默认主页（默认禁用80端口的http访问，可编辑/config/nginx/site-confs/default启用）。
• 证书每晚检查，若30天内过期将尝试续期。如证书即将在30天内过期，查看/config/log/letsencrypt下的日志了解续期失败原因。建议在Docker参数中输入电子邮件，以便接收Let's Encrypt的过期通知。

安全和密码保护

• 容器启动时会检测域名和子域名的变化，吊销现有证书并生成新证书。同时检测DHLEVEL参数变化并替换dhparams文件。
• 如需密码保护站点，可使用htpasswd。在主机上运行以下命令生成htpasswd文件：docker exec -it letsencrypt htpasswd -c /config/nginx/.htpasswd username。
• 可向.htpasswd添加多个用户密码。添加第一个用户时使用上述命令，添加其他用户时去掉-c标志（-c会强制删除现有.htpasswd并创建新文件）。
• 也可使用ldap auth进行安全和访问控制。提供用户可配置的示例ldap.conf，需配合独立镜像https://hub.docker.com/r/linuxserver/ldap-auth/%E4%B8%8Eldap%E6%9C%8D%E5%8A%A1%E5%99%A8%E9%80%9A%E4%BF%A1%E3%80%82

站点配置和反向代理

• 默认站点配置位于/config/nginx/site-confs/default。可修改此文件，也可向该目录添加其他conf文件。但删除default文件后，容器启动时会创建新的默认文件。
• 为流行应用提供预设反向代理配置文件。查看/config/nginx/proxy_confs下的README.md了解启用方法。预设配置文件来自https://github.com/linuxserver/reverse-proxy-confs%E5%B9%B6%E4%BC%9A%E5%AF%BC%E5%85%A5%E3%80%82
• 如需隐藏站点避免搜索引擎抓取，可在站点配置的server块中、包含ssl.conf的行上方添加：add_header X-Robots-Tag "noindex, nofollow, nosnippet, noarchive";。这会请求Google等搜索引擎不索引和列出您的站点。注意：若在希望被搜索的站点保留此行，最终会被下架。

在其他容器中使用证书

• 此容器包含自动生成的pfx和private-full***bundle pem证书，供Emby、Znc等其他应用使用。
  • 在其他容器中使用这些证书的方法：
  1. （简单）将letsencrypt配置文件夹挂载到其他容器（如-v /path-to-le-config:/le-ssl），在其他容器中使用证书路径/le-ssl/keys/letsencrypt/。
  2. （更安全）将/config下的etc/letsencrypt文件夹挂载到其他容器（如-v /path-to-le-config/etc/letsencrypt:/le-ssl），在其他容器中使用证书路径/le-ssl/live/your.domain.url/（此方法更安全，因为第一种方法会与其他容器共享整个letsencrypt配置文件夹，包括www文件，而第二种方法仅共享ssl证书）。
  • 包含的证书：
  1. cert.pem、chain.pem、fullchain.pem和privkey.pem：由Let's Encrypt生成，供nginx和其他应用使用。
  2. privkey.pfx：Microsoft支持的格式，常用于Emby Server等dotnet应用（无密码）。
  3. priv-fullchain-bundle.pem：捆绑私钥和fullchain的pem证书，供Znc等应用使用。

使用fail2ban

• 此容器默认包含3个fail2ban jail：
  1. nginx-http-auth
  2. nginx-badbots
  3. nginx-botsearch
• 如需启用或禁用其他jail，修改/config/fail2ban/jail.local文件。
• 如需修改过滤器和操作，不要编辑.conf文件，而是创建同名的.local文件并编辑，因为.conf文件在操作和过滤器更新时会被覆盖。.local文件会附加.conf文件的内容（如nginx-http-auth.conf --> nginx-http-auth.local）。
• 可通过docker exec -it letsencrypt fail2ban-client status查看活动jail。
• 可通过docker exec -it letsencrypt fail2ban-client status jail name查看特定jail状态。
• 可通过docker exec -it letsencrypt fail2ban-client set jail name unbanip IP解封IP。
• 命令列表可参考：[***]

支持信息

• 容器运行时的Shell访问：docker exec -it letsencrypt /bin/bash
• 实时监控容器日志：docker logs -f letsencrypt
• 容器版本号：docker inspect -f '{{ index .Config.Labels "build_version" }}' letsencrypt
• 镜像版本号：docker inspect -f '{{ index .Config.Labels "build_version" }}' linuxserver/letsencrypt

更新信息

我们的大多数镜像是静态、版本化的，需要更新镜像并重新创建容器以更新内部应用。除部分例外（如nextcloud、plex），不建议或支持在容器内更新应用。请参考上述应用设置部分了解是否推荐更新镜像。

以下是更新容器的说明：

通过Docker Run/Create

• 更新镜像：docker pull linuxserver/letsencrypt
• 停止运行中的容器：docker stop letsencrypt
• 删除容器：docker rm letsencrypt
• 使用上述相同的docker create参数重新创建容器（如正确映射到主机文件夹，/config文件夹和设置将保留）
• 启动新容器：docker start letsencrypt
• 可删除旧的悬空镜像：docker image prune

通过Docker Compose

• 更新所有镜像：docker-compose pull
  • 或更新单个镜像：docker-compose pull letsencrypt
• 让compose更新所有必要容器：docker-compose up -d
  • 或更新单个容器：docker-compose up -d letsencrypt
• 可删除旧的悬空镜像：docker image prune

通过Watchtower自动更新器（特别适用于忘记原始参数的情况）

• 拉取最新标签镜像并使用相同环境变量替换：

  docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  containrrr/watchtower \
  --run-once letsencrypt
  

注意： 我们不认可使用Watchtower作为现有Docker容器的自动更新解决方案。事实上，我们通常不鼓励自动更新。但对于忘记原始参数的容器，这是一个有用的一次性手动更新工具。长期来看，强烈建议使用Docker Compose。