无需重启Docker Nginx容器即可更新SSL证书及配置的方案咨询

嗨，我看了你遇到的问题——用Docker跑Nginx和Certbot，共享目录但更新后必须重启Nginx才生效，reload没用，容器里的文件还像是启动时的拷贝，这事儿我之前也碰到过，大概率是几个细节没处理对，给你一步步捋清楚：

1. 先确认你是怎么执行Nginx reload的 #

很多人会犯的低级错误是直接在宿主机敲nginx -s reload，这肯定没用啊，得让命令跑在Nginx容器里才行！正确的姿势是用Docker exec远程执行：

docker exec nginxXYZ nginx -s reload

如果你已经这么做了还是没效果，那咱们再往下排查。

2. 检查证书挂载与Nginx配置的对应关系 #

你把宿主机的/root/nginx/letsencrypt/挂载到了Nginx容器的/etc/letsencrypt/，那你的Nginx配置里的SSL路径必须指向/etc/letsencrypt/live/www.company.com/下的软链接文件，也就是：

ssl_certificate /etc/letsencrypt/live/www.company.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/www.company.com/privkey.pem;

Certbot更新证书后，会自动更新live目录下的软链接，指向最新的证书文件。要是你配置里写的是具体的证书文件名（不是软链接），那更新后路径就失效了，肯定得重启才管用。

3. 为什么容器里的文件像启动时的拷贝？ #

你挂载的nginx.conf是只读模式（:ro），正常情况下修改宿主机的/root/nginx/nginx.conf后，执行reload应该直接生效。要是没生效，先排查这几个点：

• 你是不是改了容器内部的nginx.conf？因为挂载的是只读，容器里改不了，必须改宿主机上的文件。
• 挂载目录的权限有没有问题？Nginx容器默认用nginx用户（UID/GID 101），如果宿主机的/root/nginx/letsencrypt/目录只有root能访问，容器里的Nginx读不到证书，reload就会失败。可以调整宿主机目录权限：

  chown -R 101:101 /root/nginx/letsencrypt/
  

  要是嫌麻烦，也可以启动Nginx时加-u root强制用root用户，但这有安全风险，不长期推荐。

4. 让Certbot更新后自动reload Nginx #

手动更新完证书再手动reload太麻烦，咱们可以把这个流程自动化，用Certbot的--deploy-hook参数，证书更新成功后自动触发Nginx reload：

docker container run --rm -it -p 8080:80 \
-v /root/nginx/letsencrypt/log:/var/log/letsencrypt/ \
-v /root/nginx/letsencrypt/:/etc/letsencrypt/ \
-v /root/nginx/certbot/www/:/var/www/certbot/ \
-v /var/run/docker.sock:/var/run/docker.sock \
certbot/certbot:latest \
certonly --webroot --webroot-path /var/www/certbot/ -d www.company.com -m "email@company.com" --agree-tos --deploy-hook "docker exec nginxXYZ nginx -s reload"

这里要注意加-v /var/run/docker.sock:/var/run/docker.sock，让Certbot容器能访问宿主机的Docker服务，才能执行命令操作Nginx容器。

5. 排查reload失败的具体原因 #

要是执行reload还是没效果，先看Nginx的错误日志找问题：

docker exec nginxXYZ tail -f /var/log/nginx/error.log

日志里会明明白白告诉你为啥失败——比如证书文件不存在、权限不够、配置语法错误等等。要是怀疑配置有问题，先执行docker exec nginxXYZ nginx -t测试配置语法，修复后再reload就行。

备注：内容来源于stack exchange，提问作者rd1218