几个日夜，无数坑。

背景是：

• 目前有备案的域名只有一个，而这个已经在生产环境采用。所以如果要采用这个域名，将不得不用三级泛域名证书，形如*.dev.aaa.com。
• 由于首要目的是开发用（微信小程序），后台语言是asp.net core，出于开发方便考虑，Web服务器用Kestrel。（当然，最终解决方案于此无关）
• 阿里云服务器，CentOS 7.4，域名也在阿里云。

一开始用ngrok但始终不能成功，后改用Frp，确实比ngrok好很多，但依然无法配置成功https访问。

最终，采用Nginx + Frp的方案，网站无需实现https，SSL在Nginx处用反向代理实现。

GO！

一、域名解析：

二、安装Frp:

参考：

Frps一键安装脚本，带Frpc Windows便捷启动脚本

来自 <https://www.moerats.com/archives/797/>

三、配置Frp:

(1) 服务器端：

用f.sh命令修改，或直接改文件：

# vim /usr/local/frps/frps.ini

主要要改：

vhost_http_port = 8090 #避开nginx要用的80

vhost_https_port = 8443 #其实没什么用，因为靠Nginx来处理https

dashboard_user = admin

dashboard_pwd = admin

token = IamPassword

subdomain_host = dev.aaa.com

如果是直接改的ini文件，保存后别忘了用systemctl restart frps重启服务。

(2)安全组或防火墙配置

Frps.ini文件中配置的端口确保在阿里云的安全组中打开。当然，还包括默认的7000,7500等端口。如果不是云主机，那就是防火墙同样操作。

(3) 客户端

Frpc.ini文件：

[common]

server_addr = 服务器IP

token = IamPassword

server_port = 7000

# protocol = kcp   这个不知道为什么，一开就连不上

log_file = ./frpc.log

log_level = info

log_max_days = 3

[testdevhttp]  #注意，这个名称不能重

type = http

local_port = 5000

subdomain = test

# http_user = admin

# http_pwd = admin

……

同样，5000端口要打开妨火墙。

这个时候内网网站就应该监听5000端口，确保http://localhost:5000能打开网站。

执行start.bat打开客户端。

(4)验证：

访问http://服务器IP:7500,能进入管理界面（需要输入dashboard_user和pwd）；

访问http://test.dev.aaa.com:8090 能打开网站

四、安装nginx

sudo yum install nginx

vim /etc/nginx/nginx.conf

把server_name _;改成：server_name *.dev.aaa.com;

保存退出。

用sudo nginx -t验证修改正确，然后用

sudo systemctl reload nginx 重载nginx。

确保安全组或防火墙配置的80和443端口是打开的。

此时打开http://*.dev.aaa.com, 应能看到nginx的默认站点。 *可以是任意字符组合。

五、安装Let's Encrypt

参考：

Let's Encrypt 安装配置教程，免费的 SSL 证书

来自 <https://segmentfault.com/a/1190000017194280>

但要注意，把其中：

./certbot-auto certonly  -d *.you.cn --manual --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory

替换成：

./certbot-auto --nginx -d *.dev.aaa.com  --preferred-challenges dns --server https://acme-v02.api.letsencrypt.org/directory

(是不是certonly要去掉忘了——应该是要去掉，关键是要加上--nginx，去掉--manual）

执行后会有一系列问题，回答即可。关于nginx的，会询问是否全部自动redirect http 为 https，之后会对nginx.conf文件做一系列修改等等。

其中和nginx无关的一些内容可以参考上文。

六、设置反向代理

Vim nginx.conf

看到nginx.conf文件已经发生了很大变化，找到：

server {

server_name  *.dev.aaa.com;

root         /usr/share/nginx/html;

# Load configuration files for the default server block.

include /etc/nginx/default.d/*.conf;

location / {

#手动添加下面内容：

proxy_pass http://127.0.0.1:8090;

proxy_set_header Host $host;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_set_header REMOTE-HOST $remote_addr;

add_header X-Cache $upstream_cache_status;expires 12h;

　　　　#开启wss(参看https://gblog.sherlocky.com/websocket-jie-he-nginx-shi-xian-yu-ming-ji-wss-xie-yi-fang-wen/）:

　　　　proxy_http_version 1.1;
　　　　proxy_set_header Upgrade $http_upgrade;
　　　　proxy_set_header Connection "upgrade";

}

error_page 404 /404.html;

location = /40x.html {

}

error_page 500 502 503 504 /50x.html;

location = /50x.html {

}

listen [::]:443 ssl ipv6only=on; # managed by Certbot

listen 443 ssl; # managed by Certbot

ssl_certificate /etc/letsencrypt/live/dev.aaa.com/fullchain.pem; # managed by Certbot

ssl_certificate_key /etc/letsencrypt/live/dev.aaa.com/privkey.pem; # managed by Certbot

include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot

ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}

保存退出。

然后再继续

sudo nginx -t

sudo systemctl reload nginx

顺利的话，此时再访问站点，就应该能看到帅气的小锁。

七、续签与其他

参看：更新证书:

来自 <https://www.cnblogs.com/peteremperor/p/9994713.html>

更好的安全性方面，参看：

Step 5 — Updating Diffie-Hellman Parameters

来自 <https://www.digitalocean.com/community/tutorials/how-to-secure-nginx-with-let-s-encrypt-on-centos-7>