SSL/TLS证书是什么？为什么需要用到SSL证书？全网最全面的一期：SSL证书申请保姆级教程！彻底解决证书申请不下来报错的问题（支持单域名、多域名、泛域名、通配符域名、多域名共用证书）

0:11 Hello,大家好 欢迎来到波仔分享 我是波仔 上期视频我们讲到了 如何搭建Xray的可视化面板 视频发布以后 群里的反馈信息 那是连成片了 大多数的问题都是说 在证书申请方面遇到了难题 各种错误是不间断 所以我们今天就一起来讲一讲 证书的相关问题 要弄清楚什么是SSL证书 我们首先需要大致的了解一下 Http以及 https HTTP协议是什么 我们在网上可以谷歌一大堆 成千上万的搜索结果都会告诉你 Http 它是一种超文本传输协议 我们今天就用人话来讲一讲

0:57 超文本传输协议 它是个什么东西 那么我们注意到这个里面有三个名词 我们分开来讲 首先是协议 提到协议大家就会想到 合约、约定、规范化 所以我们首先可以说 HTTP它是一种合约 是进行通讯的计算机双方 都必须遵从的一组约定 而传输指的是 在请求方和应答方之间传输信息 也就是数据包 这种传输它是双向的 也就是同一台主机 它可以作为请求方 也可以作为应答方

1:43 而在传输的过程中 我们还可以加入 很多第三方的一些功能 比如说数据压缩 文件的一些防护等等 最后就是超文本 超文本说明传输的数据 它首先是文本 是可以被浏览器直接处理 和识别的这样的文本 然而单纯的文本肯定不能 满足我们所有的这种需要 所以文本的含义也就被扩展了 成了超文本 它包括了什么 链接、图片、影音等等 熟悉网站建设的一群小伙伴都知道 html文件就是一种超文本文件 所以HTTP是用来处理

2:30 超文本传输的一种计算机协议 当然啊 它并不是包含了所有传输的过程 这个，大家了解一下就好了 然而HTTP协议传输的数据 都是未加密的 也就是我们所说的 "明文传输" 明文传输有什么弊端呢 打个比方 你登陆一个购物网站 去购买一个商品 需要向购物网站提供你的 手机号码、家庭住址、支付密码啊等等 一些敏感的数据 我们可以通过很简单的网络抓包 就能够获取到 你和网站之间的通讯数据 这个对攻击者的技术要求是很低的 攻击者只需要任意的一款抓包软件 就可以获取到购物网站啊里面大量的用户

3:20 就是购物网站和用户之间 大量的这种通讯的数据 而这些数据都是明文的 就问你怕不怕吧 所以就出现了https 也就是 HTTP的升级版 Https主要有两部分组成 HTTP + SSL / TLS 也就是在HTTP的基础上 又加上了一层处理加密信息的一个模块 那服务端和客户端之间的信息传输 都会通过 TLS 加密 所以在传输中的数据 都是经过加密后的数据 既然提到了加密 我们也就来到了 TLS 证书

4:07 其实 TLS 证书也被我们 经常的说为 SSL证书 我们成功申请证书以后 会有一个公钥和一个私钥 如果你不大理解公钥和私钥 你就可以把这两个东西想象成为 一把锁和一把钥匙 你是先把锁给了别人 别人用这把锁把重要的东西给锁起来 然后把包裹发给你 你收到了包裹以后 你可以用这把钥匙 把锁住的东西给打开 然而在包裹传递的过程中 因为别人没有钥匙 所以别人仅仅只是知道 你这个包裹是什么样的 这个包裹有多重 出发地是哪里

4:52 接收地是哪里 那至于包裹里面的物品是什么 因为他没有钥匙 所以不知道 那我们的墙也是这样的 经过 SSL/TLS 加密后的数据 墙只知道它的出发地IP和端口 接收地的IP和端口 然而数据里面包含着什么信息 他是不知道的 但是他可以进行猜测 比如你去寄包裹 你说你的包裹里面是一部手机 然而包裹经过快递检查站的时候 检查站首先是无法得知 你的包裹里面有什么东西 但是它却知道这个包裹有10公斤 10公斤 那肯定不是你说的那一部手机 所以包裹也就不太正常

5:39 我要拒绝送达 这也就是墙 经常会阻断你的 其中一部分原因 你说你长时间接收一个 来自境外IP 443端口 的大额流量 当我们访问这个443端口 却是一个不起眼的网站 这个网站到底能够提供什么服务 能让一个境内的IP 短时间用到这么大的流量 可疑吗 所以其实墙 他是知道你在翻他的 只是想管不想管的区别 这个好像有点说偏题了啊 我们就抓紧时间继续的来看一看 目前SSL证书申请的几种方式 这期视频的时间有点长

6:26 大家可以根据你的需要 查看我们这个视频下方的进度条 找到你想观看的内容 进行跳转的这种观看 我们第一种证书的申请方式就是 用 FreeSSL.cn 进行申请 这种方式是可以申请到 为期一年的 "亚洲诚信" 的证书 但是目前是需要手机进行验证 不在乎的小伙伴可以跟着我 一起去看一下 我们打开 FreeSSL.cn 这个网站 注册并登录以后 我们可以看到 这边有两种免费的证书 可供选择 第一种是来自亚洲诚信的 有效期一年的 可以申请双域名证书 第二种是来自 Let's Encrypt

7:12 有效期是三个月的 我们可以申请多域名 甚至通配符的证书 我们使用这个网站申请SSL证书的时候 是不需要提前解析域名的 大家如果是只有一个域名 需要用到证书的话 可以推荐大家使用亚洲诚信的 因为它的有效期是一年 比如我们可以输入 xxx.xxx.com 或者是 xxx.com 那么这样都可以申请 亚洲诚信的证书 那么今天我们就来申请 Let's Encrypt 的多域名 或者通配符域名的一个证书 我们这边有三个域名 分别是 bozai1、bozai2、bozai3.xyz 那么我们今天是需要申请

7:58 bozai1 包括 bozai1 下面的 所有二级域名都能够 同时使用的一张证书 我们来看一下这种域名 我们注意这边的提示 多个域名请用英文的逗号分隔开来 那么我们这边肯定是多域名 我们这边是 bozai1.xyz 那么这边是我们的主域名 然后我们的所有的二级域名 也就是我们的泛域名应该怎么写呢 例如：*.bozai1.xyz 这样 bozai1.xyz 和 bozai1.xyz 下面所有的二级域名 都可以共用 我们等一下申请出来的一张证书 大家能够理解吧 然后这边同样也是支持多域名的

8:44 那么我们这边可以继续的写上逗号 然后我们可以打上 bozai2.xyz 甚至我们还可以加上 逗号 填上 *.bozai2.xyz 大家通过这样可以不难发现 我们这个 bozai1.xyz 以及下面的所有二级域名 bozai2.xyz 以及 bozai2.xyz 下面的所有二级域名 都可以共用一张证书 甚至我们还可以写上 bozai3.xyz 继续往后写都是可以的 那么我们今天只需要 bozai1.xyz 和 bozai1.xyz下面的所有二级域名 共用一张证书也就好了

9:32 当然大家如果是只有一个域名 需要申请的话 当然填入一个域名也就好了 是不是 我们今天只是演示一下它 更多的功能 大家举一反三就好 那么我们输入域名完成以后 点击这边的创建免费的SSL证书 我们点击 那么这边也就会为我们填上 我们刚才我们的登录的一个邮箱 我们继续点击创建 然后这边会提示 正在启动工具 大家如果是没有工具的话 可以到这个里面去下载安装一个 就是到官网去下载安装一个 因为我们这边已经是安装了 所以我们只需要 点击 打开这个工具 也就好了

10:18 我们点击打开 然后我们需要输入主密码 主密码是你安装的过程中 会设置到的 这边我们就会生成一个 CSR 生成成功以后 我们再次回到浏览器 点击继续 这样也就会让我们进行DNS验证 那么DNS怎么验证 这边是有两个DNS记录需要验证 那么我们根据它的提示 我们来到 bozai1.xyz 解析域名的地方 我们点击它 点击 bozai1.xyz 然后找到DNS 然后添加记录 我们现在是需要添加 TXT 记录 我们得找到 类型 找到 TXT记录 名称的话 我们根据它的名称

11:04 TXT记录 我们复制这边的名称 然后点击名称这边点击粘贴 那么这个内容也在这边的记录值 我们把它复制下来 然后粘贴进去 点击确定 那么这样也就添加了一项 TXT记录 那么这边还提示我们需要添加一项 那么我们继续复制这边的 TXT记录 添加一项 TXT 名称是我们刚才复制的 然后值也就是这一个 点击保存 保存成功以后 我们在这边就可以点击验证了 当我们 Free SSL验证到

11:49 我们 DNS上面有这两项记录以后 就会跳转到这样一个页面 我们只需要点击保存到工具 然后再点击打开 这样我们这个证书也就申请下来了 我们可以选择导出证书 然后服务平台 可以是 Nginx 我们点击导出 保存到桌面 我们来到桌面把它解压出来 那么这个也就是我们刚才 申请的一个证书了 当然我们这个证书是 所有 bozai1.xyz 下面的所有的二级域名 都可以使用这个证书 大家不清楚的话 可以看我们上期的视频 那么这就是我们在 FreeSSL.cn 里面

12:36 里面申请证书的一个全部过程 第二种证书申请的方式就是用 Acme脚本去申请证书 这种方式申请证书 是不需要进行实名 所以这种方式是 使用最多的一种方式 我们就一起来看看 Acme脚本 常用的几种申请证书的方法 既然我们是需要使用 Acme脚本申请证书 首先我们需要安装Acme脚本 因为下接下来的有几种申请方式 是需要用到一部分的相关插件 所以我们需要提前安装 我们还是对Debian 10的系统 进行一个更新 然后我们安装 curl 我们在次安装 socat 这个工具 环境安装完毕以后 我们就可以来安装

13:21 我们的 Acme脚本了 我们复制这串代码 粘贴进行安装 安装成功以后 我们在 /root 文件夹下面点击刷新 可以看到多出 一个. acme.sh 这样一个文件夹 这个文件夹就是我们的 Acme脚本的文件夹 今天为大家介绍4种申请方式 80 / Nginx / HTTP 以及DNS验证的4种方式 那么前3种都是需要我们 提前解析域名 第4种DNS验证 我们不需要解析域名 我们首先来试一下第一种 用80端口验证的方式进行申请 这种方式是需要你的VPS上面 80端口是空闲的 如果你是安装了Nginx 那么请停止服务

14:08 既然是需要提前解析域名 我们首先解析一个域名 我们今天用 bozai3 来进行演示 我们找到 DNS 然后添加一项解析 我们解析一个名为 test 粘贴VPS地址 点击保存 这样我们就解析了一个 text.bozai3.xyz 的二级域名 我们现在为域名来申请证书 我们这台VPS是一个干净的VPS 上面什么服务都没有 肯定80端口也是空闲的 所以我们运行这项代码 然后把里面的域名改为 我们刚才解析的域名 test.bozai3.xyz 那么这样

14:55 这一串代码也就可以为我们这个域名 申请一个证书 我们来试一下 一般情况下 大家看到这一大串密钥 就代表我们的证书已经申请完成了 我们证书申请完成以后 默认是在 acme.sh 这个文件夹之下 大家都看得到 已经是在这个文件夹之下 但是这个文件夹下面的证书 是不能被我们用来 就是不能直接使用的 我们需要把这个证书给copy出来 我们顺着博客往下翻 我们需要安装证书到指定的文件夹 也就是这一串代码 我们复制一下 然后在浏览器里面看一下这串代码

15:43 显而易见 我们这边的域名也需要 改为我们刚才申请的域名 test.bozai3.xyz 后面的这两个路径 我们博客里面也说得挺清楚 这项代码把我们刚才申请的证书 导出到 /root 文件夹 并改名为这个名字 导出到 /root 文件夹 改为这个名字 那么我们复制来看一下 我们在 /root 文件夹下面刷新一下 我们会发现 /root 文件夹下面 多了一个证书文件 和多了一个 key 文件 那么这个文件就是我们刚才 安装出来的一个证书文件 这个证书就是我们 test.bozai3.xyz 的证书

16:30 好的 我们先把这个证书给删掉 我们再来看下面的申请方式 我们再来看第二种方式 Nginx 验证的方式进行申请 这种方式申请的话 是需要我们 VPS 上面 已经有了 Nginx 环境 并且也是需要提前解析域名 并且域名能够被正常的打开 那么我们来看一下 我们首先安装一个 Nginx 我们能访问这个IP 就代表我们的 Nginx 已经是安装成功了 那么我们来提前解析一个域名 我们就用 nginx 然后复制我们的 VPS IP 关闭小云朵 点击保存 我们来访问一下我们这个域名 nginx.bozai3.xyz

17:17 发现我们这个域名可以被访问 那么我们现在来申请一下试一下 我们用 Nginx 验证的方式来试一下 我们填入我们刚才解析的域名 nginx.bozai3.xyz 那么我们复制这一串代码粘贴进去 不出意外的话应该是会报错 大家可以用翻译软件翻译一下 这边是提示我们这个域名 没有找到相应的 conf 文件 什么意思呢 也就是我们这个域名并没有 在 Nginx 里面进行配置 虽说能够打开这个 nginx 的域名

18:04 但是这个域名 是没有在我们的 Nginx 里面进行配置 那么我们找到我们的 Nginx 我们找到 /etc/nginx/sites-available 这个里面的配置 也就是我们 Nginx 的配置 因为我们是 Debian 的系统 我们找到这边的 这个文件夹（sites-available） 然后我们打开这个里面的文件 （default） 这个文件就是我们这个 网站默认的一个配置文件 它默认的根目录 网站的根目录就是这个目录 然后这边的 Server_Name 它是留空了 我们需要把这边留空的

18:49 写入我们的域名 nginx.bozai3.xyz 我们保存 然后有的时候需要重启 Nginx 那么我们重启一下我们的 Nginx 我们现在再来运行我们刚才的 这一串代码来试一下 我们把配置文件关掉 因为现在这个 conf 配置 conf 里面已经有了 我们这个域名的配置 我们来试一下 果然不出意外 这边密钥已经出来 证明我们这个证书 已经是申请下来了 我们申请下来的证书 需要进行一个安装

19:34 我们安装到指定文件夹来看一下 我们会发现这边多出一对证书文件 这对证书文件就是我们 nginx.bozai3.xyz 的证书 好的 我们把它删掉 进行下一个方式进行申请 我们再来看一下第三种方式 HTTP方式验证 那么这一种方式进行验证的话 也是需要我们域名能够被访问 我们可以用到这一串代码 我们复制这一串代码出来看一下 这一串代码里面 一下是为我们两个域名申请的证书 大家如果记得 我们刚才的前面两种方式

20:22 也是可以申请多域名的 多域名的话 只需要在前面加个 -d 空格 就可以申请一个多域名 那么我们把后面的 -d 删掉 我们现在只申请一个 我们把 -d 到这个域名给删掉 还是申请一个 这种方式申请证书的话 也是需要提前解析域名 我们提前解析一个 http 然后复制我们的 VPS IP 关闭小云朵 点击保存 我们来为 http.bozai3.xyz 申请证书 我们把这边的域名改一下 http.bozai3.xyz 后面的 --webroot 这边的路径 就是我们网站根目录的路径

21:09 那么我们的网站根目录是 在我们的 etc 下面 （nginx配置文件） 我们找到 etc 找到 Nginx 我们还是找到刚才的配置文件 etc/nginx/sites-available/default 我们打开看一下 这就是我们网站的一个配置文件 我们首先把配置给归位看一下 也是恢复我们刚才的一个配置 我们不在这边填写域名 我们直接填入我们网站的根目录 也就是这个文件夹 root 后面跟着的这个文件夹 就是我们网站的根目录 好 我们把这个目录给换一下 我们复制这一串代码 然后进行粘贴

21:55 我们发现这边的密钥已经成功出来 证明我们这个证书 也就申请下来了 不知道大家是否看明白了 不明白的也就多看几次吧 申请完毕以后 我们需要用同样的方式 把这个证书安装到指定的文件夹 大家不明白的话 还是请看一下我们的博客 最后一种方式就是 用 DNS 验证的方式申请证书 也就是我们这里 因为这种方式申请证书 我们在上期已经是讲得很清楚了 大家可以点击博客访问 或者看我们上期的视频教程 我们点击博客 会来到我们上期这边 是怎么样用 DNS 申请证书

22:40 DNS 验证申请证书 也是讲的比较详细 到这里我们经常用的几种 证书的申请方式也就讲完了 大家若是有问题 还是请仔细认真的 看我们上面的这个视频教程 很多人对代码很马虎 不是掉了空格 就是漏掉了其他的什么字符 在上期的留言反馈中 很多小伙伴们申请证书的时候 把代码漏掉 或者是改错了 那代码其实是很严谨的一个东西 少了一个空格 丢了一个字符 那你的计算机是根本不认识的 还是请大家务必注意 好吧 今天也算是系统的为大家 讲解了证书申请的几种方式 以后的教程对于证书的讲解 也就不会再过多的进行开展了

23:27 如果说 视频能够帮助到你 还是不妨点个免费的赞 留个免费的言 多多支持一下 没订阅的小伙伴们啊 还是果断的按下订阅吧 感谢大家的支持与理解 我是波仔 我们下期视频 再见