Yusoon - ZBlog

Ubuntu系统用acme.sh自动签发由腾讯云托管域名的泛域名证书

Tue, 08 Sep 2026 11:42:04 +0800

1. 安装 acme.sh

# 1. 从 Gitee 克隆 acme.sh 源码
git clone https://gitee.com/neilpang/acme.sh.git

# 2. 进入目录并执行安装
cd acme.sh
./acme.sh --install -m 2497209071@qq.com

# 3. 回到用户目录并让命令生效
cd ~
source ~/.bashrc

2. 设置默认 CA 并导出腾讯云 API 密钥

为了确保证书来自 Let’s Encrypt，并让 acme.sh 能调用腾讯云 API，需要进行以下设置。

# 将默认证书颁发机构设为 Let's Encrypt (acme.sh 默认可能是 ZeroSSL)[citation:4][citation:8]
acme.sh --set-default-ca --server letsencrypt

# 导出腾讯云的 API 密钥，用于 DNS 验证
export Tencent_SecretId="你的SecretId"
export Tencent_SecretKey="你的SecretKey"

3. 重新签发证书 (DNS 验证)

使用 –issue 命令，配合 –dns dns_tencent 参数，为你的域名重新签发证书。请将 example.com 替换为你自己的域名。

# 同时为 example.com 和 *.example.com 申请证书，实现泛域名支持
acme.sh --issue --dns dns_tencent -d example.com -d '*.example.com'

4. 安装证书到 Nginx 目录

这一步很重要，它会将新签发的证书和私钥复制到你指定的、Nginx 实际读取的目录，并设置续期后自动重载 Nginx 的命令。请务必使用 –install-cert 命令，而不是直接复制 ~/.acme.sh/ 下的文件，因为后者无法享受自动部署的便利。

先确保你的 Nginx 证书存放目录存在，例如 /etc/nginx/ssl。

acme.sh --install-cert -d example.com \
--key-file       /etc/nginx/ssl/example.com.key \
--fullchain-file /etc/nginx/ssl/example.com.pem \
--reloadcmd      "systemctl reload nginx"

5. 确认并重启 Nginx

虽然 Nginx 配置没变，但为了确保一切正常，可以手动重载一次，然后测试 acme.sh 的自动续期流程。

# 重载 Nginx
sudo systemctl reload nginx

# 手动模拟一次续期，验证所有配置是否正确 (不会真的续期)
acme.sh --renew -d example.com --force

6. 查看当前定时任务

你可以用以下命令查看具体的 cron 配置：

crontab -l | grep acme

通常你会看到类似这样的输出：

# 每天凌晨 0 点检测一次
0 0 * * * "/home/ubuntu/.acme.sh"/acme.sh --cron --home "/home/ubuntu/.acme.sh" > /dev/null

配置默认当证书剩余有效期 < 30 天时，才会执行续期，如果需要修改触发条件，如证书剩余有效期 < 5 天触发，则可以通过一下命令修改：

# crontab -e进入编辑模式
crontab -e

# 每天凌晨 3 点检测一次，< 5天触发续期
0 3 * * * "/home/ubuntu/.acme.sh"/acme.sh --cron --home "/home/ubuntu/.acme.sh" --days 5 > /dev/null
# 保存退出即可

ubuntu 快速安装docker和compose插件

Mon, 07 Sep 2026 10:07:15 +0800

# 1. 安装docker，使用docker -v查看版本号
sudo apt install docker.io

# 2. 安装compose插件
sudo apt update
sudo apt install docker-compose -y
# 安装成功后显示安装的是docker-compose-v2，使用docker compose version可以查看版本号

# 3. 检查docker是否开机自启
sudo systemctl is-enabled docker

# 4. 设置开机自启
sudo systemctl enable docker --now

openEuler 安装 Docker 的正确方法

Wed, 15 Jul 2026 14:48:38 +0800

1、官方仓库一键安装docker和docker-compose

dnf install -y docker-engine docker-compose && \
systemctl start docker && \
systemctl enable docker && \
docker --version

官方版本较低，可使用华为云源安装最新版

2、安装新版 Docker（使用华为云源）

# 安装工具
dnf install -y yum-utils

# 添加 Docker CE 仓库（使用 CentOS 8 源，openEuler 兼容）
cat > /etc/yum.repos.d/docker-ce.repo <<'EOF'
[docker-ce-stable]
name=Docker CE Stable - $basearch
baseurl=https://repo.huaweicloud.com/docker-ce/linux/centos/8/$basearch/stable
enabled=1
gpgcheck=1
gpgkey=https://repo.huaweicloud.com/docker-ce/linux/centos/gpg

[docker-ce-stable-debuginfo]
name=Docker CE Stable - Debuginfo $basearch
baseurl=https://repo.huaweicloud.com/docker-ce/linux/centos/8/debug-$basearch/stable
enabled=0
gpgcheck=1
gpgkey=https://repo.huaweicloud.com/docker-ce/linux/centos/gpg
EOF

# 清理缓存并安装
dnf clean all
dnf makecache
dnf install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin

# 启动并设置开机自启
systemctl start docker
systemctl enable docker

# 验证版本
docker --version
docker compose version

Linux中避免rm -rf 误删操作

Tue, 14 Apr 2026 16:24:39 +0800

一、先清理旧方案（如果之前建过 profile.d 的脚本）

# 如果之前建过就删，没建过执行也无害
/bin/rm -f /etc/profile.d/safe_rm.sh

# 清掉当前 shell 里可能残留的 alias / hash
unalias rm 2>/dev/null
hash -r

二、创建方案 C 的 rm 包装脚本

cat > /usr/local/bin/rm <<'EOF'
#!/bin/bash
# 安全 rm 包装：只拦截真正危险的删除操作
# 保留：rm /tmp/xxx、rm /var/log/*.log 等正常绝对路径操作
# 拦截：rm -rf /、rm -rf /*、rm -rf /.*、--no-preserve-root 等

for p in "$@"; do
    # 跳过选项参数（-f, -r, -rf, --preserve-root 等）
    [[ "$p" == -* ]] && continue

    # 1) 根目录本身
    if [[ "$p" == "/" ]]; then
        echo -e "\033[31m[安全拦截] 禁止删除根目录：$p\033[0m" >&2
        exit 1
    fi

    # 2) 根目录下的通配删除，如 /*  /.*  /[a-z]*
    #    特征：以 / 开头，剩余部分不含 / 但含 * 或 ? 或 [
    if [[ "$p" =~ ^/[^/]*[*?\[] ]]; then
        echo -e "\033[31m[安全拦截] 禁止删除根目录通配：$p\033[0m" >&2
        exit 1
    fi
done

# 3) 禁止 --no-preserve-root（rm -rf / 的经典危险写法）
for a in "$@"; do
    if [[ "$a" == "--no-preserve-root" ]]; then
        echo -e "\033[31m[安全拦截] 禁止使用 --no-preserve-root\033[0m" >&2
        exit 1
    fi
done

exec /bin/rm "$@"
EOF

chmod +x /usr/local/bin/rm

三、让当前 shell 立即识别新脚本

hash -r
type rm

期望输出：

rm is /usr/local/bin/rm

四、验证

# 应被拦截
rm -rf /
rm -rf /*
rm -rf /.*
rm -rf --no-preserve-root /

# 应正常执行
mkdir -p /tmp/safetest && touch /tmp/safetest/a.txt
rm -rf /tmp/safetest
rm -f /var/log/dmesg.old 2>/dev/null   # 若存在则删，正常

被拦截时你会看到红色提示，比如：

[安全拦截] 禁止删除根目录：/

五、确认 PATH 顺序（关键）

echo $PATH

你的输出是：

/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/root/bin

/usr/local/bin 排在 /usr/bin 前面 ✅，脚本会被优先调用，无需再改 PATH。

六、最终状态检查清单

# 1. 无 alias 干扰
alias | grep rm          # 应无输出

# 2. rm 指向新脚本
type rm                  # 应为 /usr/local/bin/rm

# 3. 脚本存在且可执行
ls -l /usr/local/bin/rm  # 应有 x 权限

# 4. 旧脚本已删
ls /etc/profile.d/safe_rm.sh  # 应显示 No such file

全部符合就完成了。

七、回滚（万一需要）

/bin/rm -f /usr/local/bin/rm
hash -r

CentOS 上一键创建 2GB Swap 虚拟内存

Tue, 14 Apr 2026 14:23:37 +0800

1. 创建 Swap 文件（2GB）

dd if=/dev/zero of=/swapfile bs=1M count=2048

2. 设置权限（必须）

chmod 600 /swapfile

3. 格式化为 Swap

mkswap /swapfile

4. 启用 Swap

swapon /swapfile

5. 开机自动挂载（永久生效）

echo "/swapfile none swap defaults 0 0" >> /etc/fstab

6. 查看结果

free -h

你会看到 Swap 从 0B 变成 2.0G，就成功了。

7. 优化（建议执行）

你的内存只有 2G，建议把 swappiness 调高点，让系统更愿意用 Swap 避免 OOM：

echo "vm.swappiness=60" >> /etc/sysctl.conf
sysctl -p

最终效果
执行完后 free -h 会变成类似这样：

plaintext
Mem:           2.0G        1.0G         89M        1.8M        888M        784M
Swap:          2.0G          0B        2.0G

如果需要调整swap大小，可以按一下操作

一、先关闭当前 Swap

swapoff /swapfile

二、删除旧 Swap 文件

rm -f /swapfile

三、重新创建新大小的 Swap

重复上面的操作

用acme.sh自动签发由阿里云托管域名的泛域名证书

Fri, 17 Oct 2025 15:20:34 +0800

步骤 1：安装 acme.sh（官方一键脚本）

# 安装
curl https://get.acme.sh | sh -s email=你的邮箱@example.com

# 让当前 shell 立即识别命令
source ~/.bashrc

安装完成后，acme.sh 位于 ~/.acme.sh/，并已自动创建 cron 任务。

步骤 2：配置阿里云 DNS API 密钥（RAM 子用户）

1、登录阿里云控制台 → RAM → 用户 → 创建用户 → 勾选编程访问
2、权限策略：AliyunDNSFullAccess
3、拿到 AccessKey ID 和 AccessKey Secret

# 写入全局环境变量（重启也生效）
echo 'export Ali_Key="LTAIxxxxxxxxxx"' >> /etc/profile
echo 'export Ali_Secret="xxxxxxxxxxxxxxxxxxxxxxxxxxxx"' >> /etc/profile
source /etc/profile

步骤 3：签发泛域名证书（DNS 验证）

acme.sh --issue --dns dns_ali -d example.com -d '*.example.com'

多域名时使用

acme.sh --issue --dns dns_ali \
  -d example.com \
  -d '*.example.com' \
  -d '*.child.example.com'

要点

1、每个 -d 只带一个域名
2、通配符必须用单引号包住，防止 shell 展开
3、可以混用普通域名 + 多个通配符，一张证书全覆盖
4、签发后所有域名会写进 SAN 字段，Nginx 里随便哪个 server_name 只要匹配其中一项就合法

成功后会看到：

Cert success.
证书已保存在 ~/.acme.sh/example.com/

步骤 4：安装证书到 Nginx（统一路径）

# 创建目录
mkdir -p /etc/nginx/ssl

# 安装并指定 reload 命令
acme.sh --install-cert -d example.com \
  --key-file /home/cert/multi.key \
  --fullchain-file /home/cert/multi.cer \
  --reloadcmd "nginx -s reload"

根据实际重载nginx命令修改 --reloadcmd ，如 "service nginx reload"
续期成功后自动复制新证书并重载 Nginx。
若/home/cert/目录下无.key文件，则重新运行命令。

步骤 5：设置提前 3 天续期（全局生效）

# 立即生效并写入配置
acme.sh --set-default-ca --server letsencrypt
acme.sh --cron --home ~/.acme.sh --days 3

步骤 6：验证自动续期逻辑

# 手动模拟 cron 运行
acme.sh --cron --home ~/.acme.sh --days 3

如果证书剩余天数 > 3，提示 Skip；
如果 ≤ 3，会立即续期并重启 Nginx。

步骤 7：查看证书信息 & 剩余天数

# 列表
acme.sh --list

# 详细
acme.sh --info -d example.com

步骤 8：确认 cron 任务存在（默认已创建）

crontab -l

在 Ubuntu 上安装官方Docker

Fri, 19 Sep 2025 14:53:09 +0800

在 Ubuntu 上安装官方 Docker 的步骤如下：

1. 卸载旧版本（如有）

sudo apt-get remove docker docker-engine docker.io containerd runc

2. 更新软件包索引并安装依赖

sudo apt-get update
sudo apt-get install \
    ca-certificates \
    curl \
    gnupg \
    lsb-release

3. 添加 Docker 官方 GPG 密钥

sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg

4. 设置 Docker 仓库

echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

5. 安装 Docker 引擎

sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-compose-plugin

如果在 Ubuntu 上安装 Docker 时遇到 docker-ce 及相关软件包无法找到的问题，可能是由于软件源未正确配置或系统版本不兼容。以下是解决方案：

解决方法

1. 确保已正确添加 Docker 官方源

运行以下命令检查是否已正确设置仓库：

sudo ls -l /etc/apt/sources.list.d/docker.list

如果文件不存在或内容为空，重新执行仓库设置命令：

sudo apt-get update
sudo apt-get install ca-certificates curl gnupg
sudo mkdir -p /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \
  $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

2. 更新软件包列表

sudo apt-get update

3. 检查系统架构和 Ubuntu 版本

确认架构（通常为 amd64 或 arm64）：

  dpkg --print-architecture

确认 Ubuntu 版本：

  lsb_release -cs

如果输出不是 Docker 支持的版本（如 jammy for Ubuntu 22.04），可能需要手动指定版本。例如：

  echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu jammy stable" | sudo tee /etc/apt/sources.list.d/docker.list

4. 如果问题仍存在，尝试手动下载 .deb 包

从 Docker 官网下载对应版本的 .deb 包并安装：

wget https://download.docker.com/linux/ubuntu/dists/$(lsb_release -cs)/pool/stable/$(dpkg --print-architecture)/docker-ce_24.0.7-1~ubuntu.22.04~jammy_amd64.deb
sudo apt-get install ./docker-ce_*.deb

（注意替换版本号和路径）

替代方案：使用 Docker 提供的便捷脚本
如果上述方法复杂，可以直接运行 Docker 官方的一键安装脚本：

curl -fsSL https://get.docker.com | sudo sh

6. 验证安装

sudo docker run hello-world

如果看到欢迎消息，说明安装成功。

7. （可选）添加用户到 docker 组（避免每次使用 sudo）

sudo usermod -aG docker $USER
newgrp docker  # 立即生效，或重新登录

8. （可选）设置 Docker 开机自启

sudo systemctl enable docker.service
sudo systemctl enable containerd.service

git强制回退版本

Wed, 30 Apr 2025 13:54:46 +0800

强制回退

如果你已经切换到了正确的版本，但想要强制将当前分支重置到这个版本，可以使用git reset命令：

git reset --hard <commit-hash>

这个命令会将HEAD指针移动到指定的版本，并丢弃当前工作目录和暂存区的所有更改。

推送到远程仓库

如果你想要将这个强制回退的版本推送到远程仓库，可以使用git push命令：

git push origin <branch-name> --force  # 如果需要推送到远端，则需要使用强制推送

使用–force选项可以覆盖远程仓库中的历史记录，但请谨慎使用，因为这可能会影响其他协作者的工作。

CentOS系统-Linux上使用 Certbot工具申请和续签Let's Encrypt证书

Mon, 07 Apr 2025 11:25:34 +0800

一、安装Certbot

1. 在Linux系统上安装Certbot

sudo yum install certbot

二、申请Let’s Encrypt证书

1. 使用Web服务器插件申请证书

Certbot提供了多种插件，用于与不同的Web服务器集成。以下是一些常见的Web服务器插件：

sudo certbot --nginx certonly

运行命令后，Certbot会自动检测你的Nginx配置文件，并提示你选择要保护的域名。完成域名验证后，Certbot会自动更新Nginx配置文件，添加SSL证书和相关配置。

2. 手动申请证书

如果你不想使用插件，也可以手动申请证书：

sudo certbot certonly

运行命令后，Certbot会提示你输入一系列信息，包括域名、邮箱等。完成输入后，Certbot会通过ACME协议与Let’s Encrypt服务器通信，完成域名验证。

域名验证方式：

HTTP验证：Certbot会在你的Web服务器上创建一个临时文件，Let’s Encrypt服务器会访问该文件以验证域名所有权。
DNS验证：你可以在DNS记录中添加特定的TXT记录，Let’s Encrypt服务器会检查该记录以验证域名所有权。

三、配置自动续签

Let’s Encrypt证书的有效期为90天，因此需要配置自动续签功能，以确保证书始终有效。

1. 测试自动续签

在配置自动续签之前，可以先手动测试续签功能：

sudo certbot renew --dry-run

如果测试成功，表示你的系统已经具备自动续签的能力。

2. 设置定时任务

为了实现自动续签，需要在系统中设置定时任务（Cron Job）。
在CentOS系统上设置Cron Job：

# 打开Cron配置文件：
sudo crontab -e
# 添加以下内容：
0 2 * * * /usr/bin/certbot renew --quiet
# 这表示每天凌晨2点运行certbot renew --quiet命令

Cron Job的语法格式为：

* * * * * command_to_be_executed
- - - - -
| | | | |
| | | | +----- 星期几 (0 - 7) (星期天为0或7)
| | | +------- 月份 (1 - 12)
| | +--------- 日期 (1 - 31)
| +----------- 小时 (0 - 23)
+------------- 分钟 (0 - 59)

要将 certbot 的自动续签任务从每天运行一次修改为每90天运行一次，可以通过以下方法实现。由于 cron 本身不支持直接设置“每90天”这样的周期，我们需要借助一些额外的逻辑来实现。
以下是实现每90天运行一次 certbot renew 的方法：

1. 创建一个脚本

创建一个脚本文件，例如 certbot_renew.sh，并写入以下内容：

#!/bin/bash

# 设置任务的最后运行时间文件
LAST_RUN_FILE="/var/log/certbot_last_run.txt"

# 获取当前日期
CURRENT_DATE=$(date +%s)

# 如果文件不存在，初始化为当前日期
if [ ! -f "$LAST_RUN_FILE" ]; then
    echo "$CURRENT_DATE" > "$LAST_RUN_FILE"
fi

# 获取上次运行的日期（以秒为单位）
LAST_RUN_DATE=$(cat "$LAST_RUN_FILE")

# 计算两个日期之间的天数差（单位：秒）
DATE_DIFF=$((CURRENT_DATE - LAST_RUN_DATE))

# 如果天数差大于或等于90天，则执行任务并更新日期
if [ "$DATE_DIFF" -ge $((90 * 86400)) ]; then
    # 执行 Certbot 续签任务
    /usr/bin/certbot renew --quiet

    # 更新最后运行日期
    echo "$CURRENT_DATE" > "$LAST_RUN_FILE"
fi

2. 设置脚本的可执行权限

chmod +x certbot_renew.sh

3. 添加到 cron

将该脚本添加到 cron 中，使其每天运行一次。编辑 cron 任务：

crontab -e

添加以下内容：

0 2 * * * /path/to/certbot_renew.sh

这表示每天凌晨2点运行该脚本。
脚本会检查上次运行的时间，如果距离上次运行时间超过90天，则执行 certbot renew 命令并更新时间。

四、验证证书状态

1. 检查证书状态

你可以使用以下命令检查证书的状态：

sudo certbot certificates

该命令会列出所有已安装的证书及其状态，包括有效期、是否已自动续签等信息。

2. 检查Web服务器配置

在证书更新后，确保Web服务器正确加载了新的证书。可以通过访问你的网站并查看浏览器的安全提示来验证证书是否有效。

五、注意事项

域名验证：在申请证书时，确保你的域名已经正确解析到你的服务器。如果域名解析有问题，Let’s Encrypt无法完成验证。
防火墙设置：确保你的服务器防火墙允许Let’s Encrypt服务器访问你的域名用于验证（通常是80端口或443端口）。
备份配置文件：在操作过程中，建议备份你的Web服务器配置文件，以便在出现问题时可以快速恢复。

华为云Huawei Cloud EulerOS 2.0 安装 docker-ce

Wed, 23 Oct 2024 16:51:20 +0800

1、将Docker的yum仓库添加到系统中，以便通过yum包管理器安装Docker。

yum-config-manager --add-repo https://repo.huaweicloud.com/docker-ce/linux/centos/docker-ce.repo

2、使用sed命令将$releasever替换为8，这样可以确保使用CentOS 8的仓库配置。

sed -i 's/\$releasever/8/g' /etc/yum.repos.d/docker-ce.repo

3、将仓库地址中的download.docker.com替换为repo.huaweicloud.com/docker-ce，以确保使用华为云的Docker仓库。

sed -i 's+download.docker.com+repo.huaweicloud.com/docker-ce+' /etc/yum.repos.d/docker-ce.repo

4、更新yum缓存，以便系统可以识别并获取新的软件包信息。

yum makecache

5、清理dnf（Dandified YUM）包管理器的缓存。

dnf clean all

6、更新dnf缓存，以确保系统可以识别并获取新的软件包信息。

dnf makecache

7、使用dnf包管理器安装Docker容器引擎。

dnf -y install docker-ce

8、启动 Docker 服务。

systemctl start docker

9、查看 Docker 服务的状态。

systemctl status docker

10、设置 Docker 服务开机自启。

systemctl enable docker

11、行一个简单的Docker容器（hello-world）以验证Docker是否正确安装和配置。

docker run hello-world

12、列出本地已经下载的 Docker 镜像。

docker images

最后如果在镜像列表里面能看到hello-world，docker就是安装成功了~