方案：域名 **`www.downly.cn`** 解析到香港服务器（不受备案限制），通过反向代理将请求转发至大陆应用服务器（使用 IP 访问，并抹去 Header 中的 Host 头，二次中转时再还原Header 中的 Host 头）。
**注意：** 如果需要用 https，可参考：[白嫖Let's Encrypt SSL 证书指南](https://www.downly.cn/articles/f48277c2-dde1-4ee3-8f78-6f55f39ad8c9)。

## 架构流程

```asciiarmor
User Browser
     |
     | HTTPS (443)
     | www.downly.cn
     v
+---------------------------+
| 123.45.67.123 (HK)        |
| - SSL Termination         |
| - Nginx Reverse Proxy     |
+---------------------------+
     |
     | HTTP (50001)
     | Domain: www.downly.cn
     v
+---------------------------+
| 12.213.230.14 (Mainland)  |
| - Nginx Proxy             |
| - Host Header Rebuild     |
+---------------------------+
     |
     | HTTP (5173)
     | Host: www.downly.cn
     v
+---------------------------+
| Vite Dev Server           |
| 127.0.0.1:5173            |
+---------------------------+
```

## 配置详情

### 1. HK服务器

**文件路径：`/etc/nginx/conf.d/www.downly.cn.conf`**

```nginx
server {
    listen 80;
    listen [::]:80;
    server_name www.downly.cn;
    return 301 https://www.downly.cn$request_uri;
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name www.downly.cn;

    # SSL 证书路径
    ssl_certificate /etc/letsencrypt/live/www.downly.cn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/www.downly.cn/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    location / {
        proxy_pass http://12.213.230.14:50001;
        # 关键：通过自定义头传递域名，避免触发大陆服务器的 Host 备案检测
        proxy_set_header Domain $host; 
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}
```

### 2. 大陆服务器 (12.213.230.14)

**文件路径：`/www/server/panel/vhost/nginx/www.downly.cn.conf`**

```nginx
server {
    listen 50001;
    listen [::]:50001;
    server_name _; # 匹配所有来源
    
    location / {
        proxy_pass http://127.0.0.1:5173;
        # 从自定义 Domain 头中还原 Host 给后端应用
        proxy_set_header Host $http_Domain;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}
```

------

## 部署与验证

### 1. 更新 SSL 证书 (香港服务器)

```bash
certbot certonly --nginx -d www.downly.cn
nginx -t && systemctl reload nginx
```

### 2. 验证 Host 传递

在大陆服务器运行监听，观察请求头：

```bash
nc -vv -l 5173
```

**预期结果：**

- `Host: www.downly.cn`
- `Domain: www.downly.cn`

HK中转绕阿里云备案

> **适用环境**：Ubuntu / Debian / CentOS
> **目标域名**：`www.downly.cn`

本文档介绍如何使用 Let's Encrypt (Certbot) 申请免费 SSL 证书，并配置 Nginx 及自动续期。本方案采用 **Standalone** 模式，稳定性高且通用性强。

---

## 1. 前提条件

⚠️ **必须先完成域名解析！**
Certbot 需要验证您拥有该域名的控制权。如果域名未解析到当前服务器 IP，验证将失败。

```bash
# 验证 DNS 解析 (应返回服务器 IP，如 123.45.67.123)
nslookup www.downly.cn
```

## 2. 安装 Certbot

根据您的操作系统执行对应的安装命令（二选一）：

**Ubuntu / Debian**

Bash

```bash
apt-get update
apt-get install certbot -y
```

**CentOS 7 / 8+**

Bash

```bash
# CentOS 7
yum install epel-release certbot -y

# CentOS 8+
dnf install epel-release certbot -y
```

------

## 3. 申请证书

我们使用 `standalone` 模式，它需要暂时占用 80 端口来完成验证。

```bash
# 1. 停止 Nginx (释放 80 端口)
systemctl stop nginx

# 2. 申请证书
certbot certonly --standalone -d www.downly.cn

# 3. 启动 Nginx
systemctl start nginx
```

> **成功提示**：申请成功后，证书文件将保存在 `/etc/letsencrypt/live/www.downly.cn/` 目录下。

------

## 4. 配置 Nginx

编辑 Nginx 配置文件：

Bash

```bash
vim /etc/nginx/conf.d/www.downly.cn.conf
```

写入以下配置：

```nginx
server {
    listen 80;
    listen [::]:80;
    server_name www.downly.cn;
    return 301 https://www.downly.cn$request_uri;
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name www.downly.cn;

    ssl_certificate /etc/letsencrypt/live/www.downly.cn/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/www.downly.cn/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    location / {
        proxy_pass http://12.213.230.14:50001;
        proxy_set_header Domain $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}
```

验证并生效：

```bash
systemctl reload nginx
```

------

## 5. 配置自动续期

Let's Encrypt 证书有效期为 **90 天**。我们需要配置 Crontab 定时任务，建议 **每 2 个月** 自动续期一次。

1. 编辑定时任务：

   ```bash
   crontab -e
   ```

2. 添加以下内容（系统通用）：

   ```bash
   # 每 2 个月的 15 号凌晨 2:15 自动续期
   # --pre-hook: 续期前停止 Nginx 以释放端口
   # --post-hook: 续期完成后重启 Nginx
   15 2 15 */2 * certbot renew --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"
   ```

------

## 附录：常用操作

### 证书文件位置

| **文件**        | **用途**            | **Nginx 配置项**      |
| --------------- | ------------------- | --------------------- |
| `fullchain.pem` | **完整证书链**      | `ssl_certificate`     |
| `privkey.pem`   | **私钥** (严禁泄露) | `ssl_certificate_key` |

### 验证命令

```bash
# 模拟续期测试（检查配置是否正确）
certbot renew --dry-run

# 查看证书有效期
certbot certificates
```

### 申请多域名

如果需要在一张证书中包含多个域名：

```bash
certbot certonly --standalone -d www.downly.cn -d downly.cn
```

搜索结果: Let's Encrypt