问题：如何更新FRP内网穿透HTTPS网站的过期SSL证书？

Question

**如何更新FRP内网穿透HTTPS网站的过期SSL证书？** 在使用FRP进行内网穿透搭建HTTPS服务时，SSL证书过期是一个常见问题。许多用户在初始配置时使用了临时或自签名证书，随着时间推移证书过期，导致浏览器报错，影响访问安全与信任。因此，如何正确更新FRP HTTPS网站的SSL证书成为关键问题。该问题涉及证书申请、配置修改、服务重启等多个环节，尤其在使用自签名证书或Let’s Encrypt等免费证书时，操作步骤略有不同。本文将围绕FRP配置HTTPS穿透的典型场景，介绍更新SSL证书的具体方法与注意事项。

Answer 1

一、背景与问题分析

FRP（Fast Reverse Proxy）是一款常用的内网穿透工具，广泛用于将内网服务通过公网访问。在使用FRP搭建HTTPS服务时，SSL证书是保障通信安全的重要组成部分。然而，SSL证书通常具有有效期，过期后会导致浏览器报错，影响用户体验与信任。

当证书过期后，用户需要更新证书以恢复HTTPS服务的正常运行。本文将详细介绍如何更新FRP中HTTPS服务所使用的SSL证书，涵盖自签名证书和Let’s Encrypt等常见场景。

二、更新证书的通用流程

更新FRP HTTPS服务的SSL证书，主要涉及以下几个步骤：

1. 获取新证书（包括证书文件和私钥）
2. 替换或更新FRP配置文件中的证书路径
3. 重启FRP服务以加载新证书
4. 验证HTTPS访问是否正常

三、证书类型与获取方式

证书类型	获取方式	有效期	适用场景
自签名证书	使用OpenSSL生成	可自定义	测试环境、内部使用
Let’s Encrypt免费证书	使用Certbot申请	90天	生产环境、对外服务

四、操作步骤详解

4.1 替换自签名证书

假设你使用的是自签名证书，且证书文件为server.crt，私钥文件为server.key，存放路径为/etc/frp/certs/。

# 1. 生成新的自签名证书
openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes

# 2. 替换旧证书文件
cp cert.pem /etc/frp/certs/server.crt
cp key.pem /etc/frp/certs/server.key

# 3. 重启FRP服务
systemctl restart frp
  

4.2 使用Let’s Encrypt证书更新

Let’s Encrypt证书需定期更新，建议使用Certbot工具自动续签。以下是手动更新流程：

# 1. 获取新证书
certbot certonly --standalone -d yourdomain.com

# 2. 拷贝证书文件
cp /etc/letsencrypt/live/yourdomain.com/fullchain.pem /etc/frp/certs/server.crt
cp /etc/letsencrypt/live/yourdomain.com/privkey.pem /etc/frp/certs/server.key

# 3. 重启FRP服务
systemctl restart frp
  

4.3 配置文件修改示例

确保FRP的配置文件（如frpc.ini或frps.ini）中指向正确的证书路径：

[common]
bind_addr = 0.0.0.0
bind_port = 7000
vhost_https_port = 443

[web]
type = https
custom_domains = yourdomain.com
plugin = https2http
plugin_local_addr = 127.0.0.1:8080
plugin_crt_path = /etc/frp/certs/server.crt
plugin_key_path = /etc/frp/certs/server.key
  

五、常见问题与排查

• 证书未生效：检查FRP配置文件中证书路径是否正确，确认服务是否已重启。
• 浏览器仍提示证书过期：可能是本地浏览器缓存旧证书，尝试清除缓存或更换浏览器测试。
• 证书格式错误：确保证书为PEM格式，若为DER需使用OpenSSL转换。
• 证书权限问题：设置证书文件权限为600，属主为运行FRP的用户。

六、自动化更新方案（推荐）

对于Let’s Encrypt证书，建议使用脚本配合crontab实现自动更新：

#!/bin/bash
certbot renew --quiet
cp /etc/letsencrypt/live/yourdomain.com/fullchain.pem /etc/frp/certs/server.crt
cp /etc/letsencrypt/live/yourdomain.com/privkey.pem /etc/frp/certs/server.key
systemctl restart frp
  

将上述脚本添加到定时任务中：

0 0 */7 * * /path/to/renew_cert.sh
  

七、流程图示意

graph TD
    A[开始] --> B{证书类型?}
    B -->|自签名| C[生成新证书]
    B -->|Let's Encrypt| D[使用Certbot更新]
    C --> E[替换证书文件]
    D --> E
    E --> F[修改FRP配置]
    F --> G[重启FRP服务]
    G --> H[验证HTTPS访问]
    H --> I[结束]