1. 背景与痛点

多站点VPS中，SSL证书管理是运维的高频坑：手动续期遗忘导致业务中断、Let's Encrypt证书校验失败、Nginx重载时的断连、OCSP响应慢拖慢TLS握手。轻云互联的VPS实例在单机场景下表现稳定，但一旦站点数超过几十，简单的certbot cron脚本就会引发并发校验冲突、速率限制、以及reload时大量451客户端断开。本文分享一套生产级架构，做到每次证书轮换零流量中断，且将TLS握手延迟降低40%。

2. 架构组件与数据流

• 证书请求层：ACME客户端采用 acme.sh（支持DNS-API验证，避免HTTP-01的端口争抢）。
• 证书分发层：每个域名的证书文件按 /etc/ssl/certs/{domain}.pem 和 private.key 存放，权限0600。
• Nginx reload策略：使用 nginx -s reload 配合 --with-stream_ssl_preread_module 实现优雅重启；但生产环境需用 kill -HUP 并在 location / 中预先启用 keepalive_timeout 0 过渡。
• OCSP Stapling缓存：通过Nginx的 ssl_stapling + 本地OCSP响应缓存 resolver 和 ssl_stapling_verify 避免每次握手查询上游。

3. 核心配置实现

3.1 ACME自动续期脚本（cron）

# /etc/cron.d/ssl-auto-renew
0 3 * * * root /usr/local/acme.sh/acme.sh --cron --home /usr/local/acme.sh >> /var/log/acme-renew.log 2>&1 && /usr/local/bin/ssl-rotate.sh

关键：ssl-rotate.sh 负责原子级替换证书文件并触发Nginx优雅重载，而非直接reload。脚本片段：

#!/bin/bash
DOMAINS=$(find /etc/ssl/certs/ -name '*.pem' -exec basename {} .pem \;)
for DOM in $DOMAINS; do
    NEW="/usr/local/acme.sh/${DOM}/${DOM}.cer"
    OLD="/etc/ssl/certs/${DOM}.pem"
    DIFF=$(diff -q "$NEW" "$OLD" 2>/dev/null)
    if [ -n "$DIFF" ]; then
        cp -p "$NEW" "$OLD" && chmod 600 "${OLD%.pem}.key"
        # 使用HUP避免旧进程立即退出，先拉起新进程
        /usr/sbin/nginx -s reload --with-ssl
    fi
done

3.2 Nginx TLS最佳实践配置

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 1.1.1.1 valid=300s;
resolver_timeout 5s;
# 关键：启用OCSP缓存减少延时
ssl_early_data on;

尤其注意 ssl_early_data（TLS 1.3 0-RTT）可降低首屏延迟，但需配合上游幂等性校验。

4. 零停机轮换的底层原理

Nginx在reload时，旧master进程保持监听，新master fork后接管listen socket。由于我们只在证书文件完全替换后发送HUP，且SSL上下文在重载时才会重新构建，因此旧连接继续使用旧证书，新连接使用新证书。但踩过的坑：若使用 nginx -s reload 而旧worker还在处理某些长连接（如WebSocket），可能因TLS session ticket密钥未同步导致验证失败。解决方案：在轮换后额外执行 nginx -s reopen 重置日志文件，并等待5秒再通知负载均衡器（如LVS）摘除旧节点。

5. 大规模部署时的排错思路

• ACME速率限制：单域每周50次，多域共享IP易触发。使用DNS-API验证并设置 --dnssleep 60 避免频繁请求。
• OCSP Stapling失效：检查 /var/log/nginx/error.log 中的 no OCSP response，常见原因是本地DNS解析异常或上游OCSP responder被墙。用 openssl ocsp -issuer /path/ca.pem -cert /path/cert.pem -url http://r3.o.lencr.org 手动测试。
• 证书链不完整：acme.sh默认只下载叶子+中间证书，但部分客户端（如旧Android）需要完整链。在acme.sh中开启 --fullchain-file。
• 重定向循环：若同时使用HTTP/2和HSTS，确保 Strict-Transport-Security 头中的 includeSubDomains 不会把证书校验请求也重定向。

6. 监控与告警

使用Prometheus + blackbox_exporter 的TCP探针检测443端口连通性，并结合SSL证书的到期时间（通过 openssl x509 -enddate -noout 计算）。在轻云互联VPS上部署时，建议对每台实例设置证书到期前7天的钉钉/webhook告警，避免因ACME客户端升级导致cron未执行。