跨服务器多HaProxy实例场景下LetsEncrypt证书配置方案咨询

核心方案选型 #

下面三种方案都适配你当前的冗余部署场景，可根据自身技术栈选择：

方案1：单节点生成+自动同步（实现成本最低，优先推荐） #

• 可行性：完全可以单台服务器运行Certbot生成包含所有所需域名的证书，再同步到另一台服务器，是多负载均衡冗余节点场景的通用实践
• 自动化续期实现逻辑：
  1. 在生成证书的节点配置Certbot续期钩子，续期成功后自动触发同步任务
  2. 同步可以用scp配置免密登录实现，也可以用私有配置中心/对象存储中转，同步完成后自动重启两台服务器上的HAProxy容器加载新证书
  3. 提前在钩子脚本里完成证书格式转换，把fullchain.pem和privkey.pem拼接为HAProxy要求的pem格式再同步
• 路由规则适配：两台HAProxy都持有完整证书，不管请求落到哪台、最终路由到哪个后端，都可以正常完成TLS握手，完全满足你两台实例都要响应所有URL的要求

方案2：分布式HTTP-01挑战路由（不想做证书同步可选） #

• 在两台HAProxy上都配置统一规则，把所有.well-known/acme-challenge/前缀的请求转发到运行Certbot的固定节点，这样不管ACME挑战请求落到哪台HAProxy，都能正确到达Certbot节点完成验证
• 证书生成后还是可以按照方案1的逻辑自动同步，也可以分别在两台节点配置Certbot，各自完成挑战生成证书，无需跨节点同步

方案3：DNS-01挑战（泛域名场景推荐） #

• 如果你的域名托管服务商支持API操作，可以给Certbot配置对应DNS插件，用DNS-01方式完成挑战，该方式完全不依赖HAProxy的路由规则，也不受请求落在哪台节点的影响
• 生成的证书同样可以通过脚本自动同步到两台HAProxy节点，实现全流程自动化

具体问题解答 #

是否只需在单台服务器运行Certbot生成证书再同步到另一台？
是的，该方案完全可行，没有安全或功能问题。
该方案下证书续期是否还能自动化？
可以，只要配置续期后钩子脚本自动完成证书同步、HAProxy容器重启操作即可，全程不需要人工介入。
这种场景是否需要采用其他方案？
不需要，上述三种方案都可以适配你的路由规则，优先选实现成本最低的方案1即可。
是否需要用Certbot手动模式生成证书后手动更新？
完全不需要，所有流程都可以实现自动化，不需要手动操作。

内容的提问来源于stack exchange，提问作者KoenDG