首页 » 生活Linux

CentOS7免费SSL证书及自动展期

2020-06-14 作者： Fisherworks

This post shows you how to obtain a wildcard SSL certificate for free (which values at least $50) from Let’s Encrypt on CentOS 7.x Linux, and get it setup to renew by itself with an automated script.

至于什么是SSL证书，有什么用，这里不赘述了。大致上，一个泛域名（通配符）DV证书，价值怎么也在CNY 2000/年开外，注意是按年缴费；企业型（OV）证书则更贵，年费肯定不下万。因此别嫌命令行操作不好搞，有免费午餐已然相当给力，还要啥自行车。

按规矩，周知一下，证书发行方是Let’s Encrypt。之所以能送免（bai）费（piao）证书，据说主要是全自动。证书生成、发放、展期等操作，都经shell脚本完全自动化 —— 无人工就成本低，蛮好理解；至于抢了那几家拦路收费的生意，咱也捧个人场，起码希望他们能一直坚持做下去。

证书自动获取

来一台阿里云上的CentOS7，以非root（但具备sudo权限）用户连接，先下载certbot-auto脚本，并授以执行权限。

[py27@fisher-test ~]$ wget https://dl.eff.org/certbot-auto 
--2020-06-11 22:57:34--  https://dl.eff.org/certbot-auto
正在解析主机 dl.eff.org (dl.eff.org)... 151.101.228.201, 2a04:4e42:1a::201 
正在连接 dl.eff.org ... 已连接。 
已发出HTTP 请求，正在等待回应... 200 OK
长度：79897 (78K) [application/octet-stream]
正在保存至: “certbot-auto”
 
100%[===============================>] 79,897      5.73KB/s 用时13s
 
2020-06-11 22:57:50 (6.03 KB/s) - 已保存 “certbot-auto” [79897/79897])

[py27@fisher-test ~]$ wget https://dl.eff.org/certbot-auto

--2020-06-11 22:57:34-- https://dl.eff.org/certbot-auto

正在解析主机 dl.eff.org (dl.eff.org)... 151.101.228.201, 2a04:4e42:1a::201

正在连接 dl.eff.org ... 已连接。

已发出HTTP 请求，正在等待回应... 200 OK

长度：79897 (78K) [application/octet-stream]

正在保存至: “certbot-auto”

100%[===============================>] 79,897 5.73KB/s 用时13s

2020-06-11 22:57:50 (6.03 KB/s) - 已保存 “certbot-auto” [79897/79897])

然后以手工完成“挑战”（challenge）的方式，获取泛域名（通配符）DV证书，其中挑战选择DNS，也即按脚本要求，手工在域名解析中增加TXT记录 —— 以此证明此域名归属于申请者。

[py27@fisher-test ~]$ ./certbot-auto certonly  -d *.fisher.cn --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory
Requesting to rerun ./certbot-auto with root privileges...
./certbot-auto has insecure permissions!
To learn how to fix them, visit https://community.letsencrypt.org/t/certbot-auto-deployment-best-practices/91979/
Saving debug log to /var/log/letsencrypt/letsencrypt.log（这里存放获取证书全过程日志供参考）
Plugins selected: Authenticator manual, Installer None
Obtaining a new certificate
Performing the following challenges:
dns-01 challenge for fisher.cn
 
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
NOTE: The IP of this machine will be publicly logged as having requested this
certificate. If you're running certbot in manual mode on a machine that is not
your server, please ensure you're okay with that.
 
Are you OK with your IP being logged?（作为申请数字证书的要求，是否可以记录本机IP）
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: Y
 
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name
_acme-challenge.fisher.cn with the following value:（在域名中增加TXT解析，以完成“挑战”）
 
MomldPnAKL4I8bL8FiwmqvJJdE7E97RH-ARf7PZgw88
 
Before continuing, verify the record is deployed.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue（此处暂停，登你的DNS，设置解析；搞定后此处回车）【注：过后可删除】
Waiting for verification...
Cleaning up challenges
 
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:（证书获取成功，存放位置如下）
   /etc/letsencrypt/live/fisher.cn/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/fisher.cn/privkey.pem
   Your cert will expire on 2020-09-11. To obtain a new or tweaked（证书过期时间，及更新方法）
   version of this certificate in the future, simply run certbot-auto
   again. To non-interactively renew *all* of your certificates, run
   "certbot-auto renew"
- If you like Certbot, please consider supporting our work by:
 
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

[py27@fisher-test ~]$ ./certbot-auto certonly -d *.fisher.cn --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory

Requesting to rerun ./certbot-auto with root privileges...

./certbot-auto has insecure permissions!

To learn how to fix them, visit https://community.letsencrypt.org/t/certbot-auto-deployment-best-practices/91979/

Saving debug log to /var/log/letsencrypt/letsencrypt.log（这里存放获取证书全过程日志供参考）

Plugins selected: Authenticator manual, Installer None

Obtaining a new certificate

Performing the following challenges:

dns-01 challenge for fisher.cn

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

NOTE: The IP of this machine will be publicly logged as having requested this

certificate. If you're running certbot in manual mode on a machine that is not

your server, please ensure you're okay with that.

Are you OK with your IP being logged?（作为申请数字证书的要求，是否可以记录本机IP）

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

(Y)es/(N)o: Y

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Please deploy a DNS TXT record under the name

_acme-challenge.fisher.cn with the following value:（在域名中增加TXT解析，以完成“挑战”）

MomldPnAKL4I8bL8FiwmqvJJdE7E97RH-ARf7PZgw88

Before continuing, verify the record is deployed.

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Press Enter to Continue（此处暂停，登你的DNS，设置解析；搞定后此处回车）【注：过后可删除】

Waiting for verification...

Cleaning up challenges

IMPORTANT NOTES:

- Congratulations! Your certificate and chain have been saved at:（证书获取成功，存放位置如下）

/etc/letsencrypt/live/fisher.cn/fullchain.pem

Your key file has been saved at:

/etc/letsencrypt/live/fisher.cn/privkey.pem

Your cert will expire on 2020-09-11. To obtain a new or tweaked（证书过期时间，及更新方法）

version of this certificate in the future, simply run certbot-auto

again. To non-interactively renew *all* of your certificates, run

"certbot-auto renew"

- If you like Certbot, please consider supporting our work by:

Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate

Donating to EFF: https://eff.org/donate-le

那么证书如何将http通信升级为https，不同的后端有不同的代码实现方式。但就目前主流做法，大家倾向于让https通信脱离开发范畴，直接配置在httpd中，比如nginx config（或者apache之类均可）：

完整阅读本篇»

两机rsync定时单向只增同步

2020-05-27 作者： Fisherworks

事出有因

老房子装修没布网线，远在北卧192.168.1.128（wifi连接）是娃的网课机，需要播放音视频及office文档；该机wifi连接不算可靠（一堵大量钢筋砖混承重，一堵普通轻体），好的时候24Mbps，偶发连接不稳定的时候会断开；而路由器已经更新为口碑产品Netgear R6700
另有树莓派192.168.1.127（有线LAN，可靠连接）作为7×24文件服务器，用于从ddns接收外来课件，并对1.128提供文件共享服务

问题澄清

课件播放过程中，偶发wifi信号问题导致卡顿

问题思路

由于wifi中断为偶发，大部分情况下连接OK
采取让1.128机器定时（每1小时）去1.127机器同步课件的思路
前者存储大（HDD），后者小（TF），设计为单向同步；后者新增，前者同步，后者删除，前者保留

具体实现

#!/usr/bin/bash

echo `date`

FILE_SERVER=192.168.1.127
ping -c 3 -w 5 $FILE_SERVER
# ping不通则不进行同步（说明1.127未连接）
if [[ $? != 0 ]];then
    echo " target is offline! "
    exit 1
fi

pidof rsync
# 如果正在同步，则不开启新的同步
if [[ $? == 0 ]];then
    echo " rsync is still working! "
    exit 2
fi

echo "server ok, start transmission... "
rsync -uavzP --exclude=".*" pi@$FILE_SERVER:/share/documents '/home/py27/documents/learnings'
exit 0

#!/usr/bin/bash

echo `date`

FILE_SERVER=192.168.1.127

ping -c 3 -w 5 $FILE_SERVER

# ping不通则不进行同步（说明1.127未连接）

if [[ $? != 0 ]];then

echo " target is offline! "

exit 1

pidof rsync

# 如果正在同步，则不开启新的同步

if [[ $? == 0 ]];then

echo " rsync is still working! "

exit 2

echo "server ok, start transmission... "

rsync -uavzP --exclude=".*" pi@$FILE_SERVER:/share/documents '/home/py27/documents/learnings'

exit 0

测试以上脚本工作ok后，将其加入crontab，每小时定时执行

py27@py27-vince:~$ crontab -l 
0 */1 * * * /home/py27/scripts/rsync_learnings.sh > /tmp/rsync_learnings.log  2>&1

1 2	py27@py27-vince:~$ crontab -l 0 /1 * * /home/py27/scripts/rsync_learnings.sh > /tmp/rsync_learnings.log 2>&1

后续计划

观察课件同步效果，有问题检查log，总之能用技术解决的问题，就别给人找事干
目前wifi网卡为Intel AC9260 M.2，两根8dBi天线；有空可以考虑升级到带延长线的磁性吸盘12dBi天线，增强wifi稳定性

完整阅读本篇»

Linux信息亭 | Ubuntu Kiosk

2019-08-08 作者： Fisherworks

This article is written for those who need a Linux based kiosk with both touch input (virtual keyboard) and remote desktop (VNC) capability that provides a web application to serve pages and user interactions for customers.

↑ English video tutorial / 英文版视频教程

简而言之，既然任务是做一台单用途信息屏，依然不喜Windows的复杂和玄学（外加版权问题），小目标就是尽量用Linux达到。从用户基数比较大的发行版里挑，UI比较良心的就是Ubuntu了，而Ubuntu里比较可靠的就是一直以来的LTS版本了，然后LTS里最新的就是18.04 LTS —— 得嘞，就是它了。

鉴于Linux权倾朝野，无人不知无人不晓，部署Ubuntu的过程就此略去不提，填入非root用户名叫kiosk。装完后登进去，先整体更新系统。

完整阅读本篇»

树莓派HDMI强制输出

2019-06-19 作者： Fisherworks

因为前几天用Raspbian自带安装VLC播放1080p MP4严重卡顿，调研了一下；发现默认安装VLC是不带硬件解码的，也即没有发挥BCM2XXX ARM的GPU硬解码能力。
那么最简洁的解决方案是什么：命令行下omxplayer加上GUI外壳TBOplayer，试了一下果然很流畅而且占用cpu个位数，解H264编码的MP4和MKV文件都很流畅（且测试用的是pi2而非pi3）。

但这里边还有个小问题，树莓派如果上电时不接HDMI，物理口上是没输出的；这是个普遍问题，相信对于一个嵌入式设备，很多人都有类似需求（比如关屏不关盒），那么何解呢？

sudo vi /boot/config.txt

# uncomment if hdmi display is not detected and composite is being output
hdmi_force_hotplug=1

# uncomment to force a specific HDMI mode (this will force VGA)
hdmi_group=1
hdmi_mode=16

# uncomment if hdmi display is not detected and composite is being output

hdmi_force_hotplug=1

# uncomment to force a specific HDMI mode (this will force VGA)

hdmi_group=1

hdmi_mode=16

完整阅读本篇»

基于Proxmox 5.3的HA集群搭建试验

2019-04-05 作者： Fisherworks

Proxmox VE 5.3 based HA cluster setup experiment has been done on very basic hardware.

Intel Core i5-7400 4C4T
DDR4 24GB (1 x 8GB, 1 x 16GB)
SSD 960GB with ZFS RAID0 (2 x Sandisk SSD PLUS 480GB)

Special thanks to the best “nanny-level” tutorial (links listed below) by Mr. Weibing YU.

感谢提供保姆级教程的余伟兵先生，原始文章来源于其在51CTO及微信公众号的分享。

先来一个完成图，测起来一个字，爽！

完整阅读本篇»

论VT-d对虚拟化NAS之价值

2019-03-02 作者： Fisherworks

Here the post is to talk about how to build a vm-based homelab NAS file server to make the entire unit (host and vm guest) working perfectly well, with both low power consumption, and highly flexible features like timer power on/off, completely spin down HDDs (as data warehouse) with a “power-off” vm – while the host is running well in 7×24. And the key to all of those, is Intel VT-d (feature of x64 processor), with an extra SATA controller attached on the motherboard.

Then btw, clear thinking, after 10 years working experience, should be considered as one of the most valued personalities of a professional.

硬件：产自圣地华强北，3205U，4 Intel i211，HDMI，4 USB，3.5mm音频，1 9pin COM

初始状态：一台基于KVM虚拟化的NAS（文件服务器），Host系统是Proxmox VE 5.3。

当大部分教程选择esxi 5.x时，博主经仔细选择玩了PVE，原因1母鸡是标准debian本身可以做很多事（比如crontab，比如nfs server，比如gitlab等），2基于kvm稳定且不缺文档，3开源，4玩转了可以在工作中使用，毕竟是远近驰名的专业私有云solution。
小鸡操作系统是DSM6，参考别的资料，应该是基于BSD的定制魔改版本。
虚拟机（小鸡）分配2核1.5G内存作为计算资源。
硬盘共3块。
- sata1，引导盘，尺寸50M，用于引导无系统的DSM6进入可以安装系统的状态。虚拟盘，位于母鸡Intel SATA控制器下的mSATA SSD上的一个qcow2文件。
- sata0，系统盘，尺寸20G，用于安装DSM6系统。同样虚拟盘，位于母鸡Intel SATA控制器下的mSATA SSD上的一个qcow2文件。
- sata2，数据盘，尺寸2.0T，从基于PVE（Proxmox VE）的母鸡“伪·直通”到小鸡的物理磁盘。
网卡是从PVE母鸡“真·直通”到小鸡的物理网卡，Intel i211千兆网。

存在问题：一台既无性能，也不可靠的文件服务器。

所谓无性能，就得搞明白“真·直通”和“伪·直通”的区别，这里有关于Intel VT-x和VT-d的简介。
- 对于已经通过VT-d做了直通的i211网卡，其DMA和Interrupt都会remapping到虚拟机去，不再累及母鸡的cpu和内存来做传声筒；换句话说，几乎等价把母鸡的物理外设直连到了小鸡。小鸡关机，可以直接关掉物理网卡，这一点是最好佐证。
- 而对于通过PVE命令“qm set –sata2”接到小鸡的磁盘，无非是把母鸡身上这个整体存储区间（整个硬盘），映射到小鸡虚拟的sata2通道（看起来还是整个硬盘）。也就是说，所有从小鸡对这块磁盘的读写，事无巨细都得母鸡全部过一遍，中断响应和IO性能差异高下立现。
所谓不可靠，此处指两点细节问题。
- 首先，对“伪·直通”的硬盘。我们到小鸡身体里面看（下图右），虚拟出来的QEMU SATA硬盘，其身份信息以及可支持的健康功能统统不见；与同一块硬盘在母鸡身上所得的详细数据相比（下图左），堪称凄惨。这就造成DSM6系统对磁盘健康程度（SMART）是一无所知的。
- 然后，单数据盘，无RAID，对文件服务器而言……尤其对于一台连磁盘的SMART状态都看不到的服务器，屋漏偏逢连夜雨，绝了。

解决思路：把SATA控制器“真·直通”到小鸡。

↑这是tm不可行的，常见家用计算机，包括我手里这台软路由，只有一个SATA控制器。意即给母鸡的系统盘，和给小鸡的数据盘，挂在同一个SATA控制器下，一根绳上蚂蚱，要走都走，要留都留。
既然如此，那么外接一个SATA控制器。接在哪，去看技术手册。

完整阅读本篇»

CentOS7免费SSL证书及自动展期

证书自动获取

两机rsync定时单向只增同步

事出有因

问题澄清

问题思路

具体实现

后续计划

Linux信息亭 | Ubuntu Kiosk

树莓派HDMI强制输出

基于Proxmox 5.3的HA集群搭建试验

论VT-d对虚拟化NAS之价值

关于Fisherworks

最近文章

功能

本站友链

实时天气

2025年四月
一	二	三	四	五	六	日
« 3月
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30