http://wx3.sinaimg.cn/large/960b5f2cly1fgmbx8np37j211y0hmwgb.jpg
http://wx2.sinaimg.cn/large/960b5f2cly1fgmbz5nd3uj20tw0d7t9j.jpg

基本都是 mozilla 默认生成的，添了个 ssl_dhparam，注释了 ssl_trusted_certificate，完事 。A+~~~

@uuair 你根本没看懂文档， 那两个 hook 实现的功能是

当工具开始处理之前 执行 --pre-hook 之后处理续签 等续签完成后 触发 --post-hook

整个命令的意思就是 当 certbot renew 运行前，停止 nginx， 当 certbot renew 运行结束后 再启动 nginx。

这个命令 是为了 以前的 standalone 插件设计的， 因为这个插件 要用 web 端口。

@Clarke
@flaneurse

就像楼上其他人说的 现在好像 acme.sh 更流行一点，而且工具更小更简单...
https://github.com/Neilpang/acme.sh 这个项目的 wiki 里就有教程
或者也可以看这个 https://ruby-china.org/topics/31983

至于 nginx 的配置 直接用 mozilla 那个生成就很好。

@uuair 讲真 确实非常简单，你的文章也没有涉及深入的部分，只有三条命令的使用... 确实有点水....

nginx 起不来 确实是你配置有问题， 涉及 https 的配置主要就 4 项 ，不算过多。

ssl_certificate 证书
ssl_certificate_key 私钥
ssl_protocols 支持的安全通讯协议 (为了安全就是 TLS1.2，兼容就 TLSv1 TLSv1.1 TLSv1.2)
ssl_ciphers 支持的加密算法 （这个可能长了点，但算法就那么些，网上搜这个属性能搜出一大堆配置）

@ershiwo 确实简单， 用 mozilla 的生成器生成一个激进的不然兼容那 0.x%的老软件的配置，再生成以下 dhparams 就直接 A+了。

同 A+ 的路过，达到这个级别 配置很简单.

我之前的配置照着这几个网址弄的，当时这个工具还不支持直接 nginx 启动。

Let's Encrypt 工具网站
https://certbot.eff.org/#debianwheezy-nginx

mozilla 的服务器配置生成器,
https://mozilla.github.io/server-side-tls/ssl-config-generator/

用这个生成 Modern 级别的配置 在再生成一下 dhparams.pem 就直接是 A+了。



另外楼主 你的定时计划命令 应该不要那两个 hook。 根据工具的文档，应该可以不用停止 nginx。它的文档里写的是“更新命令会使用和注册相同的参数除非你手动修改”。
之前需要些 hook 是因为当时使用的是 standalone 插件，这个插件需要使用 80/443 端口来让他自己成为 web 服务器从而可以让 Let's Encrypt 的服务器可以验证你拥有这个域名，所以需要关闭掉真正监听这两个端口的服务器软件。 而现在有了支持 nginx 的插件，应该可以不用关闭 nginx 服务了。

官方文档里 给 debian7 写的文档里是 直接将 certbot-auto renew --no-self-upgrade 加入 定时计划。我想 Ubuntu 也类似。

// 不过 这个得 你自己验证一下了，我现在是用 acme.sh ...

@3dwelcome
所以我会根据电话的内容回复他， “你把我电脑开一下” 或者 “我还在外面路上 /我这里没有环境 /代码”

(#滑稽)

@GOOD21 坦白的说，你见过多少非创始人这么奉献的？
人会对自己创建东西有感情， 他们想问题的角度会是 以“我带起来的团队 /我设计的项目”， 情感上是 “我的”

但对于后期加入的螺丝钉有几个会这样想？ 可能这个东西中有一半基因来自他，但只要他不是领导，他想法会变么？

最起码以我目前简短的工作生涯里遇到这类人 和 坚信 党的领导，社会主义好，大公无私人一样少。

我不会关机，但除了火烧屁股的事，我看到也当没看到装死，或者说回复 家里没环境 /在路上 之类的推辞。

至于紧急不紧急， 你有你的判断，但我要是觉得不紧急我就不管。
比如 我下班回家了，你着急要改活动某个细节规则， 要是我的 bug，那我立马想办法处理，要是当初拍脑袋的时候没想好现在才想起来改， 爱谁急谁急去。


最后再说紧急联系人，我会和之前那位一样走人。 除非这个公司我已经干了多年而且非常让我不舍。

而且，假如我也用主副机。
哪怕你通过我同事 /前同事 /私下各种方式找到我 的性质 也和 通过 我在公司填写的紧紧联系人 的性质不一样。
前一种我会觉得你厉害啊，这都联系上! 后一种我只想说你特么有病吧?

@lty494685444
@runking

忘了这茬了 我就记得朋友租自建公寓房的时候水电比较黑，他们网速还是非常不错的。

我自己一开始住的地方是一个学校的宿舍，用的联通 201 宽带，更坑，稳定性差点速度还凑合，4M 一个月 150

1200/年 4Mbps 你这啥地方这么黑...

帝都的联通大概是 20Mbps，电信还会便宜点...

在我老家三四线城市差不多联通是这价， 民营的至少 10Mbps ...

我司曾经采用过一种 混淆加 硬件校验的方式部署。
代码混淆一遍，反编译的文件里变量互相引用，根本找不到头，代码中则包含了对 硬盘序列号和网卡 MAC 的哈希校验。

部署时，让对方将硬件信息发过来， 我们本地用同样的算法算出一个哈希，让对方把这个哈希填到配置里。

自来水的那个大佬 人家是用的 golang，可以编译成 exe 的，代码防护角度是帮不上忙的。

不过法律相关的事情那个大佬的经验应该有价值，人从一开始就想到了可能会出现的问题，直接选择挂靠个皮包公司，
用公对公的方式签署了软件合同。

@neighbads 我说了当时，我特么敢说当时要是管用我去吃屎， 你特么敢么。洗地都特么的不会洗。

@7654 不是说 光威 和 假金士顿 还容易出这问题么... 虽然我将近一年没关注硬件消息了...

@Totato5749 国内 8888 已被屏蔽.... 可以用阿里或百度的 nds。

DNS 劫持， 通过抢答，返回一个 IP ,180.149.132.47, 让你的浏览器以为这个地址是百度的，然后去这个地址访问。

这个地址再通过 web 服务 返回一个 302 的重定向请求， 将的请求改成 :https://m.baidu.com/?from=1019080x


在我这非电信网络访问，这个 ip 是 302 到百度首页的，不过方法有点逗...

http://wx1.sinaimg.cn/large/960b5f2cly1fgjpgeye01j20dz01lt8k.jpg

@Jasmine2016 你是恶搞还是认真的？！！！

@wuhao930301 类似， 我一开始是默认信用卡信用卡，后来不知道哪次，可能是他弹窗推荐，我就改成系统自动选择了。 花呗推出的时候也开过，但额度低，我怕多处预支忘了还款，就从来没用过，只用一个信用卡。

一直也好好的，直到去年秋天，某次付款默认就花呗了。
而且记得 好像 当时是选择手动调整付款顺序后，遇上不能信用卡的 /扫其他人的付款码 还得付款的时候再选一次付款方式。(不是十分确定具体的情况，但确实记得有些情况下选择手动之后确实得额外多选一次。)

我特么当时以为这个“系统自动“”是跟着用户习惯自动调整的，就像输入法候选词一样，我一连好几天付款时候手动校准选择信用卡和一个有钱的付款方式，发现根本没卵用。

把花呗关了之后，世界有清净了。



@neighbads 你是不是还想说： “你默认自动选择付款顺序的 支付宝自然首推花呗。 然后你怪谁啊。。。” ？ ？？