ykxmz/_build/setup_tls_origin.py

# -*- coding: utf-8 -*-
r'''给源站签一张 Let's Encrypt 证书，让 Cloudflare 的 SSL 能走"完全(严格)"。

== 522 是怎么来的 ==

DNS 配好、橙色云朵生效之后：

    http://yk.xxmxxs.top/       -> 200  （经 Cloudflare，反代是好的）
    https://yk.xxmxxs.top/      -> 522  （Cloudflare 连不上源站）
    13.54.30.196:443            -> 不通（源站没听 443）

结论：zone 的 SSL/TLS 模式是 **Full** 或 **Full (strict)**，
Cloudflare 回源走 443，而源站只有 80 -> 522。

== 两种解法 ==

  A. 把 SSL/TLS 改成 **Flexible**
     一个下拉框搞定。CF<->用户加密，**CF<->源站明文**。
     省事，但源站那段不加密 —— 而且 Cloudflare 官方不建议
     （源站流量在 CF 内网走，风险不大，但"完全"更好）。

  B. 源站装证书，保持 **Full (strict)**   <- 这个脚本做的
     端到端加密，还能开 HSTS 之类。多花两分钟，值得。

== 为什么开着橙色云朵也能签 Let's Encrypt ==

HTTP-01 验证是：Let's Encrypt 去请求
    http://yk.xxmxxs.top/.well-known/acme-challenge/<随机串>
这条请求会经过 Cloudflare 回源到我们的 80 端口。
Cloudflare 默认**不缓存** .well-known 路径、也会透传，所以能验证成功。
（这比"先关云朵签完再开"省事，也不用等 DNS 传播。）

== 签完还要做的 ==

  1. 用户在 Lightsail 防火墙**开 443**
  2. 用户把 Cloudflare 的 SSL/TLS 设为 **Full (strict)**
'''
from __future__ import annotations

import sys
from pathlib import Path

ROOT = Path(__file__).resolve().parent.parent
sys.path.insert(0, str(ROOT / "_build"))
from lssh import run      # noqa: E402

DOMAIN = "yk.xxmxxs.top"
EMAIL = "xmz7891@example.com"      # Let's Encrypt 要一个邮箱（过期提醒）


def main() -> int:
    print("=" * 62)
    print("  给 %s 签 Let's Encrypt 证书" % DOMAIN)
    print("=" * 62)

    print()
    print("  ── 1. 装 certbot ──")
    out = run("which certbot >/dev/null 2>&1 && echo ALREADY || "
              "(sudo apt-get update -qq && sudo DEBIAN_FRONTEND=noninteractive "
              "apt-get install -y -qq certbot python3-certbot-nginx) && "
              "certbot --version 2>&1", timeout=900, quiet=True)
    for ln in out[1].strip().splitlines()[-3:]:
        print("    " + ln)

    print()
    print("  ── 2. 先确认 HTTP-01 挑战路径能通（走 Cloudflare）──")
    out = run(
        "mkdir -p /var/www/html/.well-known/acme-challenge && "
        "echo 'ykxmz-acme-ok' | sudo tee "
        "/var/www/html/.well-known/acme-challenge/probe >/dev/null && "
        "sudo chown -R www-data:www-data /var/www/html 2>/dev/null; "
        "echo '  本机:'; curl -s --max-time 8 "
        "http://127.0.0.1:80/.well-known/acme-challenge/probe | sed 's/^/    /'; "
        "echo '  经 Cloudflare:'; curl -s --max-time 15 "
        "http://%s/.well-known/acme-challenge/probe | sed 's/^/    /'"
        % DOMAIN, timeout=180, quiet=True)
    for ln in out[1].strip().splitlines():
        print(ln)

    print()
    print("  ── 3. 签证书 ──")
    # --nginx 会自动改 nginx 配置加上 443 + 证书路径
    # --non-interactive 不交互；--agree-tos 同意条款
    # --redirect 把 http 永久重定向到 https
    out = run(
        "sudo certbot --nginx -d %s --non-interactive --agree-tos "
        "--email %s --redirect --keep-until-expiring 2>&1 | tail -20"
        % (DOMAIN, EMAIL), timeout=600, quiet=True)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 4. 复查 nginx 是否已在 443 上 ──")
    out = run(
        "sudo nginx -t 2>&1 | tail -2; "
        "echo '  --- 监听 ---'; "
        "ss -tln 2>/dev/null | grep -E ':(80|443) ' | sed 's/^/    /'; "
        "echo '  --- 证书 ---'; "
        "sudo ls -la /etc/letsencrypt/live/%s/ 2>/dev/null | tail -5 | "
        "sed 's/^/    /'; "
        "echo '  --- 本机 https 自测 ---'; "
        "curl -sk -o /dev/null -w '    https://127.0.0.1 (SNI %s): %%{http_code}\\n' "
        "--max-time 10 --resolve %s:443:127.0.0.1 https://%s/v1/health"
        % (DOMAIN, DOMAIN, DOMAIN, DOMAIN), timeout=180, quiet=True)
    for ln in out[1].strip().splitlines():
        print(ln)

    print()
    print("  ── 5. 自动续期 ──")
    out = run("systemctl is-enabled certbot.timer 2>&1; "
              "systemctl is-active certbot.timer 2>&1; "
              "sudo certbot renew --dry-run 2>&1 | tail -3",
              timeout=600, quiet=True)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("=" * 62)
    print("  接下来要用户做两件事：")
    print("    1. Lightsail 防火墙开 TCP 443")
    print("    2. Cloudflare 的 SSL/TLS 设为「完全(严格)」")
    print("=" * 62)
    return 0


if __name__ == "__main__":
    sys.exit(main())