Let's Encrypt证书续期报unauthorized/404 .well-known路径不存在问题求助

问题根因 #

你当前的Nginx配置未对Let's Encrypt的HTTP-01挑战请求做单独处理，所有/.well-known/acme-challenge/路径的请求最终会被转发给Rails应用，Rails无法匹配到对应路由就返回404，直接导致续期验证失败。

修复步骤 #

1. 创建挑战文件存储目录
   执行以下命令创建统一的挑战文件存放目录，并分配正确权限：

mkdir -p /var/www/letsencrypt/.well-known/acme-challenge
chown www-data:www-data -R /var/www/letsencrypt

2. 修改Nginx配置
   在你的两个server配置块中都添加以下location规则，优先处理ACME挑战请求：

location ^~ /.well-known/acme-challenge/ {
    root /var/www/letsencrypt;
    try_files $uri =404;
}

修改完成后验证配置合法性并重载Nginx：

nginx -t && systemctl reload nginx

3. 验证配置有效性
   手动在挑战目录下创建测试文件：

echo "test" > /var/www/letsencrypt/.well-known/acme-challenge/test

分别访问http://你的域名/.well-known/acme-challenge/test和https://你的域名/.well-known/acme-challenge/test，确认可以正常返回test内容，无404、无多余跳转。

4. 执行证书续期
   使用webroot模式执行续期操作：

certbot renew --webroot -w /var/www/letsencrypt

避免后续复现 #

由于你是通过Ansible部署服务，需将上述Nginx配置修改同步到Ansible的Nginx模板文件中，避免后续执行部署任务时自定义配置被覆盖，再次出现续期失败问题。

内容的提问来源于stack exchange，提问作者Lloydo