如何解决Certbot Docker运行报错无法生成pem证书的问题

1. 解决Certbot参数不生效、EOFError报错问题 #

• 首先修正docker-compose.yml中certbot服务的参数顺序，--register-unsafely-without-email必须放在certonly子命令之后，同时添加tty和stdin_open配置避免标准输入流缺失报错，示例配置如下：

services:
  certbot:
    image: certbot/certbot:latest
    tty: true
    stdin_open: true
    volumes:
      - ./letsencrypt:/etc/letsencrypt
      - ./certbot-webroot:/var/www/certbot
    command: >
      certonly --webroot -w /var/www/certbot
      --register-unsafely-without-email
      --agree-tos
      --no-eff-email
      -d 你的公网域名

• 注意：公共Let's Encrypt CA不支持.local后缀的内网域名签发证书，如果仅在本地开发环境使用，优先选择自签证书方案，不需要走公共CA签发流程。

2. 本地开发环境自签证书方案（无需调整现有Nginx配置，不影响SSH功能） #

不需要依赖Certbot生成证书，手动生成符合路径要求的自签证书即可：

• 第一步，创建对应证书存放目录，和你挂载到Nginx、Certbot容器的路径对应：

mkdir -p ./letsencrypt/live/example.local

• 第二步，用openssl生成有效期1年的自签证书：

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
  -keyout ./letsencrypt/live/example.local/privkey.pem \
  -out ./letsencrypt/live/example.local/fullchain.pem \
  -subj "/CN=example.local"

• 第三步，确认docker-compose.yml中Nginx服务的volumes配置已经挂载了./letsencrypt:/etc/letsencrypt，启动Nginx即可正常加载证书。

3. 公网域名Certbot签发适配方案 #

如果需要用真实公共CA证书，完成以下配置后再执行Certbot生成命令：

• 将测试域名替换为你持有所有权的公网域名，在域名解析商添加A记录指向你运行服务的设备公网IP
• 确保设备80端口公网可访问，没有被运营商或防火墙封禁
• 执行命令docker-compose up --force-recreate --no-deps certbot即可正常生成证书，生成后重启Nginx服务加载证书即可。

内容的提问来源于stack exchange，提问作者LucasMaliszewski