如何在ISPConfig服务器上用Let's Encrypt安全部署Node.js并实现证书自动续期？

问题分析 #

你当前的代码在启动时一次性读取证书文件，而ISPConfig自动续期Let's Encrypt证书后，Node.js应用不会自动加载新的证书文件，导致续期后证书失效。下面提供两种解决方案，推荐使用反向代理方案，更稳定且符合生产环境最佳实践。

方案一：使用Nginx反向代理（推荐） #

利用ISPConfig已有的Nginx配置和证书自动续期机制，让Nginx处理SSL终止，Node.js应用仅运行在本地HTTP端口。

配置步骤 #

1. 在ISPConfig中设置反向代理

   • 登录ISPConfig，进入你的网站管理界面。
   • 切换到「选项」标签页，找到「反向代理」设置。
   • 启用反向代理，将目标URL设置为http://localhost:8880（对应你Node.js应用监听的HTTP端口）。
   • 确保网站的「SSL」选项已开启，ISPConfig会自动维护Let's Encrypt证书的续期。

2. 简化Node.js代码
   移除HTTPS服务器部分，仅保留HTTP服务：

var express = require('express');
var http = require('http');
var app = express();

app.get('/', function(req, res){
  res.send('Hello World!');
});

http.createServer(app).listen(8880, function(err){
    if (err) console.log("Error in server setup")
    console.log("HTTP Server listening on Port", 8880);
});

方案二：Node.js动态重载证书 #

如果必须直接在Node.js中处理HTTPS，可以通过定时重新读取证书文件并更新服务器上下文来实现自动续期。

修改后的代码示例 #

var express = require('express');
var https = require('https');
var http = require('http');
var fs = require('fs');
var app = express();

// 初始化HTTPS服务器实例
let httpsServer;

function loadHttpsServer() {
  try {
    const options = {
      key: fs.readFileSync('/var/www/yourwebsite.tld/ssl/yourwebsite.tld-le.key'),
      cert: fs.readFileSync('/var/www/yourwebsite.tld/ssl/yourwebsite.tld-le.crt')
    };

    if (httpsServer) {
      // 更新现有服务器的SSL上下文
      httpsServer.setSecureContext(options);
      console.log('HTTPS证书已重载');
    } else {
      // 创建新的HTTPS服务器
      httpsServer = https.createServer(options, app).listen(8843, function(err){
          if (err) console.log("Error in HTTPS server setup")
          console.log("HTTPS Server listening on Port", 8843);
      });
    }
  } catch (err) {
    console.error('加载证书失败:', err);
  }
}

// 初始化加载证书
loadHttpsServer();

// 每天重载一次证书（可根据需要调整间隔）
setInterval(loadHttpsServer, 24 * 60 * 60 * 1000);

app.get('/', function(req, res){
  res.send('Hello World!');
});

http.createServer(app).listen(8880, function(err){
    if (err) console.log("Error in HTTP server setup")
    console.log("HTTP Server listening on Port", 8880);
});

注意事项 #

• 确保运行Node.js的用户对/var/www/yourwebsite.tld/ssl/目录有读取权限。可以将用户添加到www-data组：

  sudo usermod -aG www-data your-node-user
  

• 证书续期通常每90天进行一次，每天重载一次足够覆盖续期场景。

内容的提问来源于stack exchange，提问作者pat