From 60b9ce186660ba309f7cb0b599226f569dfa6e61 Mon Sep 17 00:00:00 2001 From: cnb Date: Thu, 27 Aug 2026 00:56:28 +0800 Subject: [PATCH] =?UTF-8?q?fix:=20=E4=BF=AE=E5=A4=8D=20status=20=E7=AB=99?= =?UTF-8?q?=E7=82=B9=2080=20=E7=AB=AF=E5=8F=A3=E9=87=8D=E5=AE=9A=E5=90=91?= =?UTF-8?q?=E5=86=99=E6=B3=95=EF=BC=8Ccertbot=20=E8=AF=81=E4=B9=A6?= =?UTF-8?q?=E7=AD=BE=E5=8F=91=E6=88=90=E5=8A=9F?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- CHANGELOG.md | 1 + lzwlab.status.nginx.conf | 6 +++++- setup.md | 28 ++++++++++++++++++++++------ 3 files changed, 28 insertions(+), 7 deletions(-) diff --git a/CHANGELOG.md b/CHANGELOG.md index d8f6f7a..de7a67e 100644 --- a/CHANGELOG.md +++ b/CHANGELOG.md @@ -39,6 +39,7 @@ ### Fixed - 修正监控工具选型：将误准备的上游 Komari（ghcr.io/komari-monitor/komari）镜像与配置替换为 Komari Lite（ghcr.io/nuomiiiii/komari），服务器上误拉的上游镜像已删除。 +- 修复 status.lzwlab.cn 的 80 端口重定向写法：server 级 return 301 会先于 location 匹配执行，导致 ACME 挑战路径被重定向、证书无法签发；改为 location / 内重定向后 certbot 签发成功（Let's Encrypt ECDSA，有效期至 2026-11-24）。 ### Security diff --git a/lzwlab.status.nginx.conf b/lzwlab.status.nginx.conf index 081a897..2d212e3 100644 --- a/lzwlab.status.nginx.conf +++ b/lzwlab.status.nginx.conf @@ -12,7 +12,11 @@ server { location /.well-known/acme-challenge/ { root /var/www/certbot; } - return 301 https://$host$request_uri; + # 注意：301 必须放在 location / 内，server 级 return 会在 location 匹配前执行， + # 导致 ACME 挑战路径也被重定向（踩坑记录见 setup.md） + location / { + return 301 https://$host$request_uri; + } } server { diff --git a/setup.md b/setup.md index 023fb32..5c73561 100644 --- a/setup.md +++ b/setup.md @@ -551,6 +551,7 @@ curl -s -o /dev/null -w "%{http_code} -> %{redirect_url}\n" http://127.0.0.1:257 - `location /`：HEAD 请求直接返回 204；保留 Upgrade/Connection 头（远程终端、实时数据用 WebSocket）；`proxy_buffering off`、`client_max_body_size 50M`。 - `location ^~ /api/rpc2`：Agent 状态长连接单独配置（补 Origin 头、读写超时 3600s），避免被普通页面策略提前断开。 - 80 端口只保留 `/.well-known/acme-challenge/`（certbot webroot 验证，root=/var/www/certbot），其余 301 跳 HTTPS。 +- ⚠️ 80 端口的 301 必须写在 `location / { return 301 ...; }` 内：server 级 `return` 在 rewrite 阶段（location 匹配之前）就终结请求，会把 ACME 挑战路径也一起 301，导致证书签发/续期失败（详见“附：踩坑记录”第 6 条）。 - 443 证书路径指向 `/etc/letsencrypt/live/status.lzwlab.cn/`（certbot 签发后生效）。 安装顺序（证书未签发前不能启用 443 块，否则 `nginx -t` 报证书文件不存在）： @@ -561,7 +562,7 @@ sudo install -m 644 -o root -g root /tmp/status-http.conf /etc/nginx/sites-avail sudo ln -sf /etc/nginx/sites-available/status.lzwlab.cn-http /etc/nginx/sites-enabled/status.lzwlab.cn-http sudo install -m 644 -o root -g root /tmp/lzwlab-status.conf /etc/nginx/sites-available/status.lzwlab.cn sudo nginx -t && sudo systemctl reload nginx -# 2) 证书签发后（见 11.5 自动收尾脚本）： +# 2) 证书签发后（见 11.5，脚本或手工执行）： sudo ln -sf /etc/nginx/sites-available/status.lzwlab.cn /etc/nginx/sites-enabled/status.lzwlab.cn sudo rm -f /etc/nginx/sites-enabled/status.lzwlab.cn-http sudo nginx -t && sudo systemctl reload nginx @@ -571,22 +572,36 @@ sudo nginx -t && sudo systemctl reload nginx `status.lzwlab.cn` 在 DNSPod（腾讯云云解析）上没有解析记录（权威 NXDOMAIN），公网入口与证书签发依赖该记录。处理方式： -1. 在 DNSPod 控制台为 `lzwlab.cn` 添加 A 记录：主机记录 `status`，记录值 `1.15.225.173`。 -2. 服务器上已放置自动收尾脚本 `/tmp/status-watch.sh`（nohup 后台运行，日志 `/tmp/komari-status-watch.log`）：每 45 秒检测一次解析，解析生效后自动执行 certbot（webroot 方式）签发证书 → 启用 443 站点 → 移除临时 HTTP 块 → `nginx -t` + reload → 本机自检。 +1. 在 DNSPod 控制台为 `lzwlab.cn` 添加 A 记录：主机记录 `status`，记录值 `1.15.225.173`（本次部署时由仓库使用者添加）。 +2. 服务器上放了一个自动收尾脚本 `/tmp/status-watch.sh`（nohup 后台运行，日志 `/tmp/komari-status-watch.log`），每 45 秒检测一次解析：DNS 生效后它自动尝试 certbot 签发。首次尝试因 11.4 所述的 301 坑失败（ACME 挑战被 301 到 HTTPS 后 404），修复配置后改为手工签发成功（脚本已完成使命并清理）： ```bash -# 手工执行等价命令（脚本超时/失败时用） sudo certbot certonly --webroot -w /var/www/certbot -d status.lzwlab.cn \ --non-interactive --agree-tos -m admin@lzwlab.cn --keep-until-expiring +# Successfully received certificate（ECDSA，有效期至 2026-11-24） ``` -证书续期：certbot webroot 方式会随 systemd 定时器自动续期，80 端口挑战块保留在 `status.lzwlab.cn` 站点的 80 server 块中即可。 +3. 证书签发后启用 443 站点并移除临时 HTTP 块（脚本会自动做，失败时手工执行）： + +```bash +sudo ln -sf /etc/nginx/sites-available/status.lzwlab.cn /etc/nginx/sites-enabled/status.lzwlab.cn +sudo rm -f /etc/nginx/sites-enabled/status.lzwlab.cn-http +sudo nginx -t && sudo systemctl reload nginx +``` + +证书续期：certbot webroot 方式已注册 systemd 定时器自动续期；80 端口 `/.well-known/acme-challenge/` 位置保留在 `status.lzwlab.cn` 站点的 80 server 块中，续期验证直接可用（已验证该路径返回 404/200 而非 301）。 ### 11.6 验证结果（公网） ```bash -curl -s -o /dev/null -w "%{http_code}\n" https://status.lzwlab.cn/ # 307/200（面板，首次为 /install 初始化页） +curl -s -o /dev/null -w "%{http_code} -> %{redirect_url} ssl=%{ssl_verify_result}\n" http://status.lzwlab.cn/ +# 301 -> https://status.lzwlab.cn/（HTTP 强制跳 HTTPS） +curl -s -o /dev/null -w "%{http_code} -> %{redirect_url} ssl=%{ssl_verify_result}\n" https://status.lzwlab.cn/ +# 307 -> https://status.lzwlab.cn/install ssl=0（首次为 /install 初始化页，证书链受信任） +curl -sL https://status.lzwlab.cn/ | grep -o '.*' # Komari Lite curl -s https://lzwlab.cn/ | grep -o '服务器状态' # 服务器状态（首页按钮已生效） +echo | openssl s_client -connect status.lzwlab.cn:443 -servername status.lzwlab.cn -alpn h2,http/1.1 2>/dev/null \ + | grep -E "subject=|issuer=|ALPN" # CN=status.lzwlab.cn / Let's Encrypt / h2 ``` ### 11.7 首次使用 @@ -617,3 +632,4 @@ sudo docker pull ghcr.io/nuomiiiii/komari:latest && cd /opt/komari && sudo docke `registry-mirrors`（docker.m.daocloud.io）后解决。 5. `remote.py` 的 `--timeout` 参数必须放在远程命令之前（`python remote.py --timeout 500 "命令"`）； 放在命令之后会被 argparse 当作远程命令的一部分传给服务器执行。 +6. nginx 中 server 级的 `return` 在 rewrite 阶段（location 匹配之前）执行并直接终结请求：`server { location /.well-known/acme-challenge/ {...} return 301 ...; }` 的挑战路径照样会被 301，导致 certbot 签发失败（LE 跟随 301 到 HTTPS 后得到 404）。必须把重定向写进 `location / { return 301 ...; }` 内，让 location 先参与匹配。