99 元的阿里云 使用 Let's encrypt 出现 Recv failure: Connection reset by peer

[monsterx2a]

前几天用大家伙发的 99 元链接买了一个阿里云，现在想部署一个静态网站，在申请证书的时候出现这个错误：

• Trying 47.116.0.64:80...
• Connected to xxx.xxx.com (47.116.0.64) port 80 (#0)

GET /.well-known/acme-challenge/4z7pGgGgeMk6Jv_2emLgxuIfjeXzeSlYlPs1JwIiPt8 HTTP/1.1 Host: xxx.xxxx.com User-Agent: curl/7.81.0 Accept: /

• Recv failure: Connection reset by peer
• Closing connection 0 curl: (56) Recv failure: Connection reset by peer

但是国内访问确实正常，提交了阿里工单，原话如下： “我们在大陆服务器访问您提供的提示是 404,但在海外测试服务器上访问提示连接重置（ reset ）,let's encrypt 是海外证书机构,需要从海外访问这个站点,看现象是跨境链路问题导致。”

建议我使用阿里的免费证书或者换时间段试试。我之前用过阿里的服务器和腾讯云的服务器，还有公司的服务器，都没有出现这个错误。 这个是短期的问题，还是长期的？

[Kowloon]

看一下防火墙？

[affmans]

干嘛不买台海外的服务器，黑五还有优惠呢
/t/992329

[zhangchioulin]

@affmans 实在忍不住吐槽一下，你的 id 暴露了你的目的

[AoEiuV020JP]

我也觉得国内搞 lets encrypt 不靠谱，
一方面我访问 lets 海外服务器不靠谱，一方面 lets 海外服务器访问我也不靠谱，
最终我是用 github actions 申请 lets 证书，先从 webdav 下载下来，使用 DNS 验证申请 lets 刷新证书后上传到 webdav ，然后各服务器定时人 webdav 下载证书部署 reload ，
https://github.com/AoEiuV020/AutoLetsEncrypt

[monsterx2a]

@Kowloon 已经把所有端口都打开了。

并且国内可以访问

[kincaid]

dns 验证不香嘛，文件验证现在都玄学

[monsterx2a]

@kincaid 如果没办法就换 DNS 了。

因为现在用的 dockerfile 来编译项目， 从代码到获取证书一套下来的

[Kowloon]

@monsterx2a
那很奇怪，我之前用 Let's Encrypt 试过不成功，后来发现是 80 不通导致的。可以等半夜出口不堵了再试试吧。

[JensenQian]

你直接 dns 申请

[tool2d]

我就在用阿里的免费 SSL 证书，1 年时间比 3 个月长多了，又不收费。

Let's Encrypt 在老版本安卓上也打不开，小问题挺多的。

[ontry]

用阿里云自己的 SSL 算了，一年免费好像能申请 20 个？服务器都在国内了安全真就是小问题了

[monsterx2a]

@JensenQian @tool2d @huaseky
谢谢各位，我去用阿里云的证书了。

[mantouboji]

阿里这种破烂都不要去搞人类社会的东西了，不为别的，也要为自己的人身安全着想啊。

退一万步说，你看到了这种现象，居然就一点儿警觉都没有，还戆兮兮地去开什么工单？你是三年网课刚毕业的孩子吗？赶紧换主机，至少也是赶紧换成 DNS 验证方式啊。

[zed1018]

http-01 白天已经很难验证成功了，建议改用 dns 验证

[lcy630409]

楼上不用把这个说的那么差劲
对于我们这种 放个博客网站 偶尔做个测试环境的来说 99 月一年 还是阿里云这种国内大牌子 感觉很心满意足

[lcy630409]

不过我是买来 就直接装了 v2ray 的客户端，为了连 github 和谷歌的 ssl 证书，很流畅

[monsterx2a]

@zed1018 这个有什么说法吗？

[zed1018]

@monsterx2a 感觉是白天反向墙比较严格，反正我基本都是 timeout 。之前还在用的时候只能做个 crontab 在深夜重试才成功

[beyondstars]

你可以用 DNS 方式验证你对域名的控制权，而不是容易受到 ConnectionReset 拦截的 HTTP 方式。certbot 和 acme.sh 都支持 DNS 方式。

你可以像 acme.sh 提供你的域名服务提供商的 APIKeyId 和 APIKeySecret ，这样可以实现自动更新证书。

[monsterx2a]

@beyondstars 最终就是采取了这个方案， 我从 certbot 换成了 acme 谢谢