Windows Server下使用Win-ACME与Nginx实现HTTPS自动化

1. 项目概述

在Windows Server环境下为网站配置HTTPS加密一直是运维人员的痛点。传统方案要么成本高昂（商业证书），要么配置复杂（手动续期）。而Let's Encrypt作为免费证书颁发机构，配合Win-ACME客户端和Nginx反向代理，可以构建全自动化的HTTPS解决方案。

我管理的十几台Windows Server生产环境全部采用这套方案，最长的已稳定运行3年多。下面就把这套经过实战检验的配置方案完整分享出来，包含你可能在官方文档里找不到的细节技巧。

2. 环境准备与工具选型

2.1 系统要求确认

• 操作系统版本：实测支持Windows Server 2012 R2及以上版本（含2022）
• IIS角色：需要已安装Web服务器(IIS)角色
• .NET环境：Win-ACME需要.NET 4.7.2+运行环境
• 管理员权限：需要以管理员身份运行所有操作

重要提示：如果服务器位于内网，需确保80/443端口能对外访问（ACME验证需要）

2.2 工具选型对比

选择Win-ACME的核心原因：

1. 零依赖：不需要额外安装Python/Shell环境
2. 高性能：证书申请过程只需3-5秒
3. 自动化：内置任务计划程序集成

3. 详细配置步骤

3.1 Win-ACME安装配置

1. 下载最新版本：

powershell复制# 推荐使用官方CDN下载
Invoke-WebRequest -Uri "https://www.win-acme.com/latest" -OutFile "wacs.zip"

2. 解压到安全目录：

powershell复制Expand-Archive -Path "wacs.zip" -DestinationPath "C:\Program Files\win-acme\" -Force

3. 首次运行初始化：

powershell复制cd "C:\Program Files\win-acme"
.\wacs.exe

首次运行时会自动生成配置文件（默认位于%programdata%\win-acme），建议修改以下关键参数：

json复制{
  "Settings": {
    "ClientNames": ["letsencrypt"],
    "DefaultCertificateStore": "WebHosting",
    "ReusePrivateKeys": true
  }
}

3.2 Nginx反向代理配置

典型配置示例（nginx.conf）：

nginx复制server {
    listen 443 ssl;
    server_name example.com;
    
    ssl_certificate C:\Certificates\example.com-chain.pem;
    ssl_certificate_key C:\Certificates\example.com-key.pem;
    
    location / {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

关键参数说明：

• ssl_certificate：指向Win-ACME生成的证书链文件（包含中间证书）
• ssl_certificate_key：私钥文件路径
• 建议启用HTTP/2：listen 443 ssl http2;

3.3 自动化证书申请流程

执行交互式配置命令：

powershell复制.\wacs.exe --verbose

按提示选择：

1. 创建新证书（选项1）
2. 选择验证方式：HTTP-01挑战（选项2）
3. 输入域名列表（支持通配符）
4. 选择存储方式：PEM格式（选项3）
5. 配置自动续期：每天检查（选项1）

实测技巧：通过--target iis --installation iis参数可自动绑定到IIS站点

4. 高级配置与优化

4.1 证书自动部署方案

创建部署后脚本（deploy.ps1）：

powershell复制param($certPath, $keyPath)

# 1. 复制证书到Nginx目录
Copy-Item $certPath -Destination "C:\nginx\conf\ssl\" -Force
Copy-Item $keyPath -Destination "C:\nginx\conf\ssl\" -Force

# 2. 重载Nginx配置
Start-Process "nginx.exe" -ArgumentList "-s reload" -NoNewWindow -Wait

# 3. 发送通知邮件
$smtp = New-Object Net.Mail.SmtpClient("smtp.example.com")
$smtp.Send("admin@example.com", "admin@example.com", "证书更新通知", "新证书已部署")

在Win-ACME配置中引用：

json复制{
  "Script": {
    "script": "powershell -ExecutionPolicy Bypass -File C:\\scripts\\deploy.ps1",
    "timeout": 30
  }
}

4.2 安全加固建议

1. 密钥强度优化：

powershell复制.\wacs.exe --rsa-key-size 4096 --ecc-key-size 384

2. OCSP装订配置（Nginx）：

nginx复制ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate C:\Certificates\ca-bundle.pem;

3. HSTS头配置：

nginx复制add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

5. 故障排查与常见问题

5.1 证书申请失败处理

错误现象：

code复制[ERR] Create certificate failed: Authorization failed

排查步骤：

1. 检查80端口是否开放：

   powershell复制Test-NetConnection -ComputerName localhost -Port 80
   

2. 验证域名解析：

   powershell复制Resolve-DnsName example.com
   

3. 临时关闭防火墙测试：

   powershell复制netsh advfirewall set allprofiles state off
   

5.2 续期失败处理

典型场景：证书续期后Nginx未重新加载

解决方案：

1. 检查Win-ACME日志：

   powershell复制Get-Content "$env:programdata\win-acme\logs\log.txt" -Tail 100
   

2. 手动触发证书更新：

   powershell复制.\wacs.exe --renew --baseuri "https://acme-v02.api.letsencrypt.org/"
   

3. 验证Nginx配置：

   powershell复制nginx -t
   

5.3 性能优化参数

在Nginx配置中添加：

nginx复制ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1h;
ssl_buffer_size 4k;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';

6. 监控与维护方案

6.1 证书过期监控

创建PowerShell监控脚本（check_cert.ps1）：

powershell复制$certs = Get-ChildItem Cert:\LocalMachine\WebHosting
$alertDays = 30

foreach($cert in $certs){
    $expiryDate = $cert.NotAfter
    $daysLeft = ($expiryDate - (Get-Date)).Days
    
    if($daysLeft -lt $alertDays){
        Write-Warning "证书 $($cert.Subject) 将在 $daysLeft 天后过期！"
    }
}

设置计划任务每天运行：

powershell复制$trigger = New-JobTrigger -Daily -At "3:00 AM"
Register-ScheduledJob -Name "CertCheck" -FilePath "C:\scripts\check_cert.ps1" -Trigger $trigger

6.2 日志分析方案

使用LogParser分析Win-ACME日志：

sql复制SELECT 
    TO_LOCALTIME(QUANTIZE(TO_TIMESTAMP(date, time), 3600)) AS Hour,
    COUNT(*) AS Requests,
    SUM(CASE WHEN status='SUCC' THEN 1 ELSE 0 END) AS Success
INTO report.csv
FROM 'C:\ProgramData\win-acme\logs\*.log'
GROUP BY Hour
ORDER BY Hour

7. 实际案例分享

7.1 高流量网站配置

某电商平台配置参数：

nginx复制ssl_session_tickets off;
ssl_early_data on;
ssl_certificate C:\Certificates\fullchain.pem;
ssl_certificate_key C:\Certificates\privkey.pem;

# 启用0-RTT
ssl_early_data on;

性能对比：

7.2 多域名管理技巧

批量申请证书命令：

powershell复制.\wacs.exe --verbose --target manual --host "example.com,www.example.com,api.example.com" --validation http-01 --validationmode selfhosting --store pemfiles --pemfilespath "C:\Certificates"

使用--renew-baseuri参数指定ACME端点：

powershell复制.\wacs.exe --renew --baseuri "https://acme-staging-v02.api.letsencrypt.org/"

8. 替代方案对比

8.1 与IIS原生方案对比

8.2 与商业证书对比

优势：

• 零成本（商业证书每年$50-$500不等）
• 自动化续期（商业证书需手动更新）
• 透明管理（所有操作可审计）

劣势：

• 有效期仅90天（商业证书通常1-2年）
• 不支持OV/EV验证级别
• 无商业支持服务

9. 安全注意事项

1. 私钥保护：

   • 设置证书目录权限：

     powershell复制icacls "C:\Certificates" /grant "NT AUTHORITY\SYSTEM:(OI)(CI)F"
     icacls "C:\Certificates" /remove "BUILTIN\Users"
     

2. ACME账户密钥轮换：

   powershell复制.\wacs.exe --updateaccount --newaccountkey
   

3. 禁用不安全的协议：

   nginx复制ssl_protocols TLSv1.2 TLSv1.3;
   ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
   

10. 性能调优实测数据

测试环境：

• 硬件：Azure D4s v3 (4 vCPU, 16GB RAM)
• 系统：Windows Server 2022 Datacenter
• 网络：1Gbps带宽

压测结果（使用wrk工具）：

code复制$ wrk -t12 -c400 -d60s --latency https://example.com

优化建议：

• 启用ssl_session_cache可提升15-20%性能
• 使用ECC证书可降低30% CPU开销
• 启用TLS 1.3可减少50%握手时间