证书续签问题 & h3 访问问题 & cloudreve v4 的 docker compose 启动失败

[FeelHappy411Study]

我用的是最新的脚本，选择的 SNI 方式部署的，部署完发现三个问题：

• 续签的时候，发现会续签失败。
• h3 访问伪装站点（直连）的时候，提示缺少 Host 导致没有办法访问。
• cloudreve v4 的 dockerfile 中 postgre 是 latest 的时候，启动不了

续签我看到的是，acme.sh renew 的时候会通过 80 端口去校验 .well-known 下的文件，但是当前的配置没法访问到。
因为本来预期被 redirect.conf 接管的流量走到 restrict.conf 了，给 redirect.conf 的 server 块设置上 server_name 就好了。不配置 server_name 貌似只有 Host 为空的时候才能走到。

Xray-script/config/nginx/conf/conf.d/redirect.conf

Lines 1 to 11 in fdd3664

	# HTTP redirect
	server {
	listen 80 reuseport;
	listen [::]:80 reuseport;
	include nginxconfig.io/zerossl.conf;
	# include nginxconfig.io/limit.conf;
	location / {
	return 301 https://$host$request_uri;
	}
	}

Xray-script/config/nginx/conf/conf.d/restrict.conf

Lines 1 to 6 in fdd3664

	server {
	listen 80 default_server;
	listen [::]:80 default_server;
	server_name _;
	return 444;
	}

h3 那个我看是，quic 的流量反代到 cloudreve 的 server 块的时候，没有 $http_proxy 导致没有 Host header，直接 400 了。 我把这行改成 $host 或删掉就正常了。（但总觉得不正确）

Xray-script/config/nginx/conf/web/cloudreve.conf

Line 4 in fdd3664

proxy_set_header Host $http_host;

cloudreve v4 我把 postgre 的镜像版本换成 17 就正常了。

这是我遇到的些问题，不过我对 nginx 不熟悉，不确定这么做对不对。辛苦作者确认一下吧

[zxcvos]

1.自动续期没有这个问题吧。。。
2-3.你可能要去 cloudreve 那边问一下，我也是直接搬的那边的官方配置，没怎么研究
3.看了一下 cloudreve 官方配置，确实从 latest 改为 17 了

[FeelHappy411Study]

1.自动续期没有这个问题吧。。。

这个应该只要在部署完之后，在 vps 上执行定时任务里的续期命令，加上 --force --debug 的 flag 就能看到续期失败的提示，作者没遇到相同问题吗？

2-3.你可能要去 cloudreve 那边问一下，我也是直接搬的那边的官方配置，没怎么研究

问题 2 是应该和 cloudreve 无关，是这个 nginx 配置 config/nginx/conf/web/cloudreve.conf 在 h3 访问站点的时候，拿不到 $http_host（不影响代理功能，只是访问伪装站会失败）。我是在 chrome://flags 里启用 quic 的时候出现的， network 里也发现只有协议是 h3 的时候才会出现这个问题。

假如作者没遇到相同问题，那等以后我有再部署的时候留个现场再打开这个？

[tosokang]

确实是没办法续签 但是加上server_name后也无法正常续签 另外新版脚本似乎破坏了旧版的兼容性 更新脚本后也检查不到已安装的版本 只能重装

[gitbruc]

我也续签失败了

[zxcvos]

我试了一下强行续签，确实遇到续签问题了。

问了一下 Gemini，得到以下回复：

---

这是一个非常典型的 ZeroSSL 证书颁发机构 (CA) 的服务端限制问题，而不是你的服务器配置错误。

🔎 问题诊断

根据你的日志，关键的报错信息在这里：

[Sat Jan 17 09:18:17 UTC 2026] responseHeaders='... retry-after: 86400 ...'
[Sat Jan 17 09:18:17 UTC 2026] The retryafter=86400 value is too large (> 600), will not retry anymore.

1. Retry-After: 86400: ZeroSSL 的服务器告诉 acme.sh：“此订单正在处理中，请等待 86400秒（也就是24小时） 后再试。”
2. acme.sh aborting: acme.sh 脚本有一个安全机制，如果 CA 要求等待的时间超过 600 秒（10分钟），它就会认为这不合理，直接停止脚本运行，以防止脚本无限挂起。

为什么会发生这种情况？
这通常是因为 ZeroSSL 那边对于该域名或账户有一个“卡住”的待处理订单，或者触发了某种风控/负载限制。

---

✅ 解决方案

即使你等待 24 小时，问题可能依然存在。最快、最有效的解决方法是 切换证书颁发机构 (CA)，或者 强制重置 ZeroSSL 账户。

方案一：切换到 Let's Encrypt (推荐，最快解决)

ZeroSSL 最近经常出现这种不稳定。建议切换回行业标准的 Let's Encrypt。

请依次执行以下命令：

1. 将默认 CA 更改为 Let's Encrypt：

   acme.sh --set-default-ca --server letsencrypt

2. 重新申请证书（使用 --issue 而不是 --renew，因为换了 CA）：
   注意：日志显示你之前使用的是 webroot 模式，目录是 /var/www/_zerossl。我将沿用这个路径。

   acme.sh --issue -d example.com --webroot /var/www/_zerossl --force --ecc

   如果上面的命令成功颁发了证书，你的问题就解决了。以后自动续期也会走 Let's Encrypt。

方案二：坚持使用 ZeroSSL (尝试重置账户)

如果你必须使用 ZeroSSL，你需要清除本地缓存的 ZeroSSL 账户信息，强制注册一个新账户来绕过那个卡住的订单。

1. 删除 ZeroSSL 的账户数据目录：

   rm -rf /root/.acme.sh/ca/acme.zerossl.com

2. 重新注册 ZeroSSL 账户（acme.sh 会自动处理）：
   再次运行你原本的续签命令：

   acme.sh --renew -d example.com --force --ecc --debug

方案三：检查 Nginx 配置 (如果上述方案都失败)

日志中显示验证目录是 /var/www/_zerossl。请确保你的 Nginx 配置中，确实把 .well-known/acme-challenge/ 映射到了这个目录。

查看你的 Nginx 配置文件（通常在 /usr/local/nginx/conf/nginx.conf 或 /etc/nginx/sites-enabled/ 下），确认有类似以下的配置：

location ^~ /.well-known/acme-challenge/ {
    default_type "text/plain";
    root /var/www/_zerossl;
}

如果配置不正确，CA 无法读取验证文件，虽然通常会报 404 错误，但有时也会导致订单状态卡在 "processing"。

总结建议

直接使用 方案一。Let's Encrypt 更加稳定，且没有这种奇怪的 24 小时等待限制。

[zxcvos]

试了一下方案二，还是失败，有需要的尝试一下最后方案，换到 Google Public CA

我暂时懒得改了，等我自己的证书到期后还是有这问题，我再改一下代码吧 😑 ，或者来个好心人帮忙 pr 一下 😽

---

Gemini:

你说得对。Let's Encrypt 确实已经开始逐步停止支持 OCSP（他们认为 OCSP 泄露隐私且拖慢速度，正在全面转向 CRLs）。如果你有硬性需求（比如旧设备兼容、特定的 Stapling 配置或合规要求），那么 Let's Encrypt 确实不适合你。

既然 ZeroSSL 把你“关小黑屋”了（卡单/风控），而 Let's Encrypt 又不支持 OCSP，你需要切换到 第三个 既免费、又支持 OCSP、且 acme.sh 支持的 CA。

推荐方案：切换到 Google Trust Services (Google Public CA) 或 BuyPass。

---

推荐方案：切换到 Google Public CA (GTS)

Google 的公共 CA 是免费的，由 GlobalSign 交叉签名，兼容性极好，而且支持 OCSP。

1. 注册 Google CA 账户

在 acme.sh 中注册 Google 账户（需要提供一个邮箱）：

acme.sh --server google --register-account -m admin@example.com

2. 申请证书

使用 --server google 参数来强制指定使用 Google CA：

acme.sh --issue -d example.com --webroot /var/www/_zerossl --force --ecc --server google --debug

注意：虽然你的目录名叫 _zerossl，但这只是个文件夹名字，不影响 Google CA 往里面写验证文件。

---

备选方案：切换到 BuyPass Go

BuyPass 是挪威的一家 CA，他们的免费证书也是 ACME 协议，支持 OCSP，而且有效期是 180天（Let's Encrypt 和 ZeroSSL 都是 90 天）。

1. 注册 BuyPass 账户

acme.sh --server buypass --register-account -m admin@example.com

2. 申请证书

acme.sh --issue -d example.com --webroot /var/www/_zerossl --force --ecc --server buypass --debug

---

为什么不继续尝试 ZeroSSL？

你在日志中看到的 retry-after: 86400 是服务器端针对你的域名或IP的硬性风控。
即便你删除了本地账户（方案二），ZeroSSL 的服务器端依然记录着“这个域名有一个未完成的挂起订单”，并且强制要求等待 24 小时。在等待期结束前，无论怎么重试都会失败。

总结：
请直接使用 Google Public CA。它是目前替代 ZeroSSL 最好的选择，完美满足你对 OCSP 的需求。

[gitbruc]

我是把conf.d里面的改成一个文件，试了一下可以续签

`# HTTP redirect
server {
listen 80 default_server reuseport;
listen [::]:80 default_server reuseport;
server_name _;
include nginxconfig.io/zerossl.conf;
# include nginxconfig.io/limit.conf;

if ($host ~ "\d+\.\d+\.\d+\.\d+") {
    return 444;
}

location / {
    return 301 https://$host$request_uri;
}

}

server {
listen unix:/dev/shm/nginx/default_backend.sock ssl proxy_protocol default_server;
set_real_ip_from unix:;
real_ip_header proxy_protocol;
ssl_reject_handshake on;
return 444;
}`