在阿里云 CLB 上使用 Let's Encrypt

[abc950309]

之前一直使用阿里云 K8S + CLB 来实现动态扩所容，降低成本。阿里云改了免费证书的策略，三个月就要换一遍证书，每次都要操作好多个 CLB 实例，十分头疼。证书管理还要另外交好几百，感觉做了冤大头。

写了这个脚本，只需要在 K8S 里加个 Cronjob ，就可以自动刷新 Let's Encrypt 的证书，并更新到 CLB 配置里了。再也不用给阿里云交冤枉钱了！

https://github.com/samuelncui/certbot-aliyun

各位大佬如果有其他的证书部署目标的话，也可以提 PR 。

可能没说明白，不是更新集群的证书，是更新 Aliyun CLB 的证书。CLB 之前必须要手动填证书，或者买阿里云的高价通配证书/证书管理服务。现在可以直接使用 Let's Encrypt 的证书了。

[privil]

Let's Encrypt 三个月操作一次，大部分人还是会买便宜的泛域名证书一年更换一次吧。

[defunct9]

腾讯云和 AWS

[sampeng]

@privil 早就是自动的了。

@abc950309 如果你是 k8s ，哪需要这么麻烦。cert-manager 全自动。我几十个域名都是全自动的。都不用管他。

[Lockeysama]

额，有个 Cert Manager ，直接搞好，配 ingress 就行了。。

[lasuar]

acme 不是自动更新吗

[huangsen365]

用阿里云 ESA 边缘安全加速免费自动 ssl

[jqknono]

阿里云 esa 使用 cname 托管不能申请泛域名证书，免费证书申请限制为 10 张，cname 域名限制为 100 个。可能不够用。
集群证书管理用 cert-manager 就好了

[abc950309]

@privil 这个的目的就是自动更新 Let's Encrypt ，配上之后就可以通过 Aliyun 的 OpenAPI 自动更新 CLB 上的证书了。

[abc950309]

@sampeng 这个处理的是外部流量接入 K8S 集群的问题。内部是 HTTP 裸跑的，外部需要最后加一下 HTTPS 。当时选用的是 CLB 来接入外部流量。

[abc950309]

@huangsen365 这个看了下的确不错，之前 DCDN 回源太贵了，这个如果不限制次数可以试一下。

[sampeng]

@abc950309 是你没理解。。clb 直接穿透 tcp 到 ingress 就好了。就没 clb 证书什么事了。简单有效。我所有环境都是 cert-manager 管理的免费证书