使用CertBot为AWS Lightsail上的API服务器生成证书失败

• IIS占用80端口导致冲突
  Certbot的standalone模式会启动临时Web服务器监听80端口完成ACME HTTP-01挑战，但你的IIS已在运行并占用80端口（HTTP请求可正常访问），这会导致Certbot无法绑定80端口，或临时服务器无法接收挑战请求。
  解决方法：

  1. 临时停止IIS服务，执行certbot certonly --standalone，完成后重启IIS。
  2. 改用webroot模式，无需停止IIS：指定IIS网站根目录（如C:\inetpub\wwwroot），执行命令certbot certonly --webroot -w C:\inetpub\wwwroot -d <你的域名>。此模式下Certbot会将挑战文件放入指定目录，通过已运行的IIS响应挑战请求，避免端口冲突。

• Lightsail防火墙未开放80端口
  ACME HTTP-01挑战需要外网能访问服务器的80端口，你仅提到开放了HTTPS（443），需检查Lightsail实例的防火墙规则，确认是否添加了**HTTP (80)**入站规则，允许所有来源（0.0.0.0/0）的访问。

• Windows本地防火墙阻止80端口入站
  即使Lightsail防火墙开放了80，Windows服务器自身的防火墙可能未允许80端口入站连接。打开Windows Defender防火墙高级设置，检查是否存在允许80端口入站的规则，并确保规则应用于所有网络配置文件（域、专用、公网）。

• 额外检查：网络代理或CDN干扰
  若域名配置了CDN或使用代理服务，ACME挑战请求可能被转发至其他节点，导致验证服务器无法直接访问你的Lightsail实例。这种情况下可暂时关闭CDN代理功能，或改用DNS-01挑战模式（执行certbot certonly --dns-godaddy，需配置GoDaddy API密钥）。

内容的提问来源于stack exchange，提问作者Clicksurfer