Let’s Encrypt 证书申请与多服务器 HTTPS 配置指南

1. 背景说明

在多服务器部署场景下，我们希望为域名申请 HTTPS 证书，并让多台服务器都可以使用。常用的证书来源是 Let’s Encrypt，它免费、自动化，并支持多种验证方式。

2. 证书申请原理

Let’s Encrypt 证书申请的核心步骤：

1. 验证域名所有权：必须证明你对域名拥有控制权。
2. 域名解析到服务器：某些验证方式依赖域名解析到指定服务器。

3. 验证方式

3.1 HTTP-01 验证

• 原理：在域名对应的服务器上放置特定文件，由 Let’s Encrypt 访问验证。
• 条件：
  • 域名必须已解析到申请证书的服务器 IP。
  • 服务器需开放 80/443 端口。
• 适用场景：单服务器、简单 Web 服务。
• 注意事项：
  • 多服务器部署时，每台服务器都需单独申请证书。
  • 如果 DNS 未解析到该服务器，验证会失败。

3.2 DNS-01 验证

• 原理：在域名 DNS 上添加指定 TXT 记录，由 Let’s Encrypt 验证。
• 条件：
  • 只需能修改域名 DNS 记录即可。
  • 不依赖域名解析到哪台服务器。
• 适用场景：多服务器、负载均衡、CDN、GTM 等场景。
• 优势：
  • 一次验证成功，可在多台服务器共享同一证书。
  • 不受服务器 IP 或流量调度策略影响。

4. 多服务器 HTTPS 配置建议

4.1 如果使用 HTTP-01

• 每台服务器独立申请证书，需：
  1. 对应域名解析到该服务器。
  2. 服务器开放 80/443 端口。
• 不适合多 IP、多节点场景。

4.2 如果使用 DNS-01（推荐）

• 只需能在 DNS 添加 TXT 记录即可，无需解析到服务器。
• 可以申请一次证书，然后在多台服务器上共享。
• 非常适合：
  • 多 IP、多服务器部署
  • 使用 CDN 或全局流量管理（GTM）

5. 注意事项

1. HTTP-01：
   • 必须域名解析到申请服务器；
   • 每台服务器都需要独立证书，管理成本高。
2. DNS-01：
   • 无需解析到服务器，管理更方便；
   • 支持证书在多服务器间共享。
3. HTTPS 证书部署：
   • 每台服务器都要安装证书文件；
   • 若使用负载均衡器，可在前端统一终止 HTTPS，再转发 HTTP 到后端。

6. 总结

验证方式	是否必须先解析 DNS	适用场景	优缺点
HTTP-01	✅ 是	单服务器、简单 Web	优点：简单，缺点：多服务器管理复杂
DNS-01	❌ 否	多服务器、CDN、GTM	优点：统一管理、灵活；缺点：需要修改 DNS

💡 推荐：多服务器、负载均衡或 CDN 场景使用 DNS-01 验证，申请一次证书即可在所有服务器共享，管理成本最低。