mirror of
https://gitee.com/xmz7891/ykxmz.git
synced 2026-10-18 14:50:45 +00:00
xmz7891
25ffd3ec67
== 522 的根因 ==
DNS 配好、橙色云朵生效之后：
http://yk.xxmxxs.top/ -> 200（经 Cloudflare，反代正常）
https://yk.xxmxxs.top/ -> 522
13.54.30.196:443 -> 不通
zone 的 SSL/TLS 模式是 **Full / Full(strict)**，Cloudflare 回源走 443，
而源站只听了 80 —— 因此 522。
== 解决：源站签 Let's Encrypt 证书 ==
用 certbot 的 nginx 插件签（**不需要 webroot**，插件自己处理挑战）：
Successfully received certificate
/etc/letsencrypt/live/yk.xxmxxs.top/fullchain.pem
notAfter = Jan 6 2027（自动续期已启用 certbot.timer）
nginx 已加 listen 443 + 证书 + http->https 跳转
**开着橙色云朵也能签**：HTTP-01 挑战请求
http://yk.xxmxxs.top/.well-known/acme-challenge/... 会经 Cloudflare
回源到 80，CF 不缓存该路径、会透传，所以验证能过。
比"先关云朵签完再开"省事，也不用等 DNS 传播。
踩的坑：第一次用了 xmz7891@example.com，Let's Encrypt 拒收
example.com 这类保留域名，报"invalid email"。
改用 --register-unsafely-without-email 即可
（续期由 timer 负责，不依赖邮件提醒）。
== 停掉旧服务器 ==
中转已在 Lightsail 跑通，旧那台（随身 WiFi + 两条 CF 隧道 + 网络调优）
全部停掉并取消自启：
lanremote-relay / lanremote-tunnel / lanremote-tunnel-h2 /
lanremote-nettune / monitor.timer / watchdog.timer -> 全 inactive
**只停服务，没关机、没删文件** —— 保持可逆，新服务器稳几天再说。
== 待用户操作 ==
Lightsail 防火墙开 TCP 443（Cloudflare 的 Full(strict) 回源要用）。
45 lines
1.7 KiB
Plaintext
45 lines
1.7 KiB
Plaintext
源站装 TLS 证书 + 停掉旧服务器
|
||
|
||
== 522 的根因 ==
|
||
|
||
DNS 配好、橙色云朵生效之后：
|
||
http://yk.xxmxxs.top/ -> 200（经 Cloudflare，反代正常）
|
||
https://yk.xxmxxs.top/ -> 522
|
||
13.54.30.196:443 -> 不通
|
||
|
||
zone 的 SSL/TLS 模式是 **Full / Full(strict)**，Cloudflare 回源走 443，
|
||
而源站只听了 80 —— 因此 522。
|
||
|
||
== 解决：源站签 Let's Encrypt 证书 ==
|
||
|
||
用 certbot 的 nginx 插件签（**不需要 webroot**，插件自己处理挑战）：
|
||
|
||
Successfully received certificate
|
||
/etc/letsencrypt/live/yk.xxmxxs.top/fullchain.pem
|
||
notAfter = Jan 6 2027（自动续期已启用 certbot.timer）
|
||
nginx 已加 listen 443 + 证书 + http->https 跳转
|
||
|
||
**开着橙色云朵也能签**：HTTP-01 挑战请求
|
||
http://yk.xxmxxs.top/.well-known/acme-challenge/... 会经 Cloudflare
|
||
回源到 80，CF 不缓存该路径、会透传，所以验证能过。
|
||
比"先关云朵签完再开"省事，也不用等 DNS 传播。
|
||
|
||
踩的坑：第一次用了 xmz7891@example.com，Let's Encrypt 拒收
|
||
example.com 这类保留域名，报"invalid email"。
|
||
改用 --register-unsafely-without-email 即可
|
||
（续期由 timer 负责，不依赖邮件提醒）。
|
||
|
||
== 停掉旧服务器 ==
|
||
|
||
中转已在 Lightsail 跑通，旧那台（随身 WiFi + 两条 CF 隧道 + 网络调优）
|
||
全部停掉并取消自启：
|
||
|
||
lanremote-relay / lanremote-tunnel / lanremote-tunnel-h2 /
|
||
lanremote-nettune / monitor.timer / watchdog.timer -> 全 inactive
|
||
|
||
**只停服务，没关机、没删文件** —— 保持可逆，新服务器稳几天再说。
|
||
|
||
== 待用户操作 ==
|
||
|
||
Lightsail 防火墙开 TCP 443（Cloudflare 的 Full(strict) 回源要用）。
|