### 配置 Docker 中的 Nginx 使用 Let's Encrypt 免费 SSL 证书 #### 准备工作环境 为了使 Nginx 能够在 Docker 容器中正常运行并支持 HTTPS 访问，首先需要创建合适的 `docker-compose.yml` 文件来定义服务。此文件应包含用于启动 Nginx 和 Certbot（Let's Encrypt 的客户端之一）所需的所有设置[^1]。 ```yaml version: '3' services: nginx: image: nginx:latest container_name: nginx-container ports: - "80:80" - "443:443" volumes: - ./data/nginx:/etc/nginx/conf.d - ./data/certbot/conf:/etc/letsencrypt - ./data/certbot/www:/var/www/certbot certbot: image: certbot/certbot command: certonly --webroot --webroot-path=/var/www/certbot --email admin@example.com --agree-tos --no-eff-email --force-renewal -d example.com -d www.example.com volumes: - ./data/certbot/conf:/etc/letsencrypt - ./data/certbot/www:/var/www/certbot ``` 上述 YAML 片段展示了如何通过 docker-compose 同时启动两个容器：一个是作为 Web 服务器角色存在的 Nginx；另一个则是负责处理 SSL/TLS 证书请求过程中的验证工作的 Certbot 实例[^4]。 #### 自动化 SSL 证书申请流程 为了让整个过程更加自动化，在首次部署应用之前或定期执行命令以触发新证书的颁发是非常必要的。可以通过编写 shell script 或者直接调用如下所示的一次性指令完成这一步骤： ```bash docker run -it --rm \ -v "$(pwd)"/data/certbot/conf:/etc/letsencrypt \ -v "$(pwd)"/data/certbot/www:/var/www/certbot \ certbot/certbot renew --dry-run ``` 这条命令会尝试模拟一次完整的续订操作而不实际更改任何现有证书的状态，这对于测试目的非常有用[^5]。 #### 更新 Nginx 配置实现 HTTPS 支持 最后也是最重要的部分就是修改 Nginx 的配置文件使其能够识别并加载由 Let's Encrypt 提供的新生成出来的私钥以及公钥链。通常情况下这些文件会被存储于 `/etc/letsencrypt/live/<your-domain>/fullchain.pem` 及 `/etc/letsencrypt/live/<your-domain>/privkey.pem` 下面的位置[^2]。 ```nginx server { listen 80; server_name example.com; location /.well-known/acme-challenge/ { root /var/www/certbot; } location / { return 301 https://$host$request_uri; } } server { listen 443 ssl http2; server_name example.com; ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; include snippets/ssl-params.conf; location / { proxy_pass http://localhost:8080; # 假设后端服务监听在此处 proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } } ``` 这段 NGINX 配置实现了 HTTP 到 HTTPS 的重定向，并设置了正确的路径指向 Let's Encrypt 所发放的安全凭证位置，从而确保所有流量都经过加密传输[^3]。