LetsEncrypt SSL - История изменений

Sol в 11:08, 17 октября 2022

2022-10-17T11:08:19Z

Sol: /* Ограничения */

2017-04-08T15:56:45Z

Ограничения

Sol в 15:46, 8 апреля 2017

2017-04-08T15:46:55Z

Sol: Новая страница: «Файл:Letsencrypt-logo-horizontal.svg Let’s Encrypt is a free, automated, and open certificate authority (CA), run for the public’s benefit. We give…»

2017-04-08T14:56:49Z

Новая страница: «Файл:Letsencrypt-logo-horizontal.svg Let’s Encrypt is a free, automated, and open certificate authority (CA), run for the public’s benefit. We give…»

Новая страница

[[Файл:Letsencrypt-logo-horizontal.svg]]

Let’s Encrypt is a free, automated, and open certificate authority (CA), run for the public’s benefit.

We give people the digital certificates they need in order to enable HTTPS (SSL/TLS) for websites, for free, in the most user-friendly way we can. We do this because we want to create a more secure and privacy-respecting Web.

The key principles behind Let’s Encrypt are:
* '''Free''': Anyone who owns a domain name can use Let’s Encrypt to obtain a trusted certificate at zero cost.
* '''Automatic''': Software running on a web server can interact with Let’s Encrypt to painlessly obtain a certificate, securely configure it for use, and automatically take care of renewal.
* '''Secure''': Let’s Encrypt will serve as a platform for advancing TLS security best practices, both on the CA side and by helping site operators properly secure their servers.
* '''Transparent''': All certificates issued or revoked will be publicly recorded and available for anyone to inspect.
* '''Open''': The automatic issuance and renewal protocol will be published as an open standard that others can adopt.
* '''Cooperative''': Much like the underlying Internet protocols themselves, Let’s Encrypt is a joint effort to benefit the community, beyond the control of any one organization.

== Установка приложения ==
=== Centos ===
<syntaxhighlight lang="bash">
yum install epel-release -y
yum install certbot
</syntaxhighlight>
=== Arch Linux ===
<syntaxhighlight lang="bash">
pacman -Syu certbot
</syntaxhighlight>
=== Debian/Ubuntu ===
<syntaxhighlight lang="bash">
sudo apt-get update
sudo apt-get install letsencrypt
</syntaxhighlight>
== Получение сертификата ==
В силу того что в своей работе я отдаю предпочтение веб серверу Nginx все примеры будат заточены под него.

Для примера возьмем домен wiki.webko.net.ua, у него есть конфиг вида
<syntaxhighlight lang="nginx">
server {
listen 212.26.146.24:80;
server_name wiki.webko.net.ua;
root /srv/http/wiki;
index index.php;
access_log /var/log/nginx/domains/wiki.webko.net.ua.log combined;
error_log /var/log/nginx/domains/wiki.webko.net.ua.error.log error;

client_max_body_size 5m;
client_body_timeout 60;

location / {
...
}
}
</syntaxhighlight>
Для того чтобы полчуть сертификат для домена первым делом нужно удостовить LE в том что вы имеете право на запрос сертификата для домена. Я использую acme-challenge. Для упрощения админисрирования, возможно, большего хазяйства я использую шаблон для проведения удостоверения, его основная функция - переадресация всех запросов к урлу .well-known/acme-challenge/ приложению проводящему удостоверение (тоесть letsencrypt или certbot), его мы сможем подключать к любому виртуальному хосту, выглядит он так.
<syntaxhighlight lang="bash">
mkdir /etc/nginx/template
vim /etc/nginx/template/letsencrypt.conf
</syntaxhighlight>
<syntaxhighlight lang="nginx">
location ~ ^/(.well-known/acme-challenge/.*)$ {
proxy_pass http://127.0.0.1:9999/$1;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
</syntaxhighlight>
Дальше подключаем его к виртуальному хосту нашего домена.
<syntaxhighlight lang="nginx">
server {
listen 212.26.146.24:80;
server_name wiki.webko.net.ua;
root /srv/http/wiki;
index index.php;
access_log /var/log/nginx/domains/wiki.webko.net.ua.log combined;
error_log /var/log/nginx/domains/wiki.webko.net.ua.error.log error;

client_max_body_size 5m;
client_body_timeout 60;

include template/letsencrypt.conf; # <---

location / {
...
}
}
</syntaxhighlight>
Перезагружаем конфиг Nginx для применения изменений.
<syntaxhighlight lang="bash">
nginx -t
nginx -s reload
</syntaxhighlight>
Подготовка завершена, переходим непосредственно к запросу сертификата. В зависимости от вашего дистрибютива приложение может иметь разные названия (letsencrypt или certbot).
<syntaxhighlight lang="bash">
letsencrypt --agree-tos --renew-by-default --standalone --standalone-supported-challenges \
http-01 --http-01-port 9999 --server https://acme-v01.api.letsencrypt.org/directory \ #запуск внутреннего http сервера для проведения аутентификации
certonly \ #получаем сертификаты без автоматической правки конфигов вебсервера(возможно при помощи отдельных плагинов для LE)
-d wiki.webko.net.ua -d www.wiki.webko.net.ua \ #перечислены домены для которых запрашивается сертификат
--rsa-key-size 4096
</syntaxhighlight>
Дальше начнется удостоверенеие, в ходе так же у вас будет запршен "контактный" емейл, для отправки вам уведомлений об окончании срока действия сертификата.

Если все прошло успешно вы увидите уведомление об успешном создании сертификатов и пути их расположения.
<syntaxhighlight lang="bash">
/etc/letsencrypt/renewal/wiki.webko.net.ua.conf - конфиг
/etc/letsencrypt/archive/wiki.webko.net.ua/ - архив сертификатов
/etc/letsencrypt/live/wiki.webko.net.ua/ - актуальные сертификаты
</syntaxhighlight>

Следубщим шагом создадим виртуальный конфиг для нашего домена с поддержкой SSL.
<syntaxhighlight lang="nginx">
# постоянный редирект на https
server {
listen 212.26.146.24:80;
server_name wiki.webko.net.ua;
return 301 https://$server_name$request_uri;
}
# конфиг виртуального хоста
server {
listen 212.26.146.24:443 ssl;
server_name wiki.webko.net.ua;
root /srv/http/wiki;
index index.php;
access_log /var/log/nginx/domains/wiki.webko.net.ua.log combined;
error_log /var/log/nginx/domains/wiki.webko.net.ua.error.log error;

# включение ssl и подключение сертификатов
ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_certificate /etc/letsencrypt/live/wiki.webko.net.ua/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/wiki.webko.net.ua/privkey.pem;

client_max_body_size 5m;
client_body_timeout 60;

include template/letsencrypt.conf;

location / {
...
}
}
</syntaxhighlight>
Перезагружаем конфиг Nginx для применения изменений.
<syntaxhighlight lang="bash">
nginx -t
nginx -s reload
</syntaxhighlight>
Теперь наш сайт доступен по https соединению, при переходе по http будет срабатывать редирект на https.
=== Получение сертификата не для WEB ===

== Обновление сертифкатов ==

== Ограничения ==

[[Категория:Web]]

← Предыдущая		Версия 15:56, 8 апреля 2017
Строка 186:		Строка 186:
	* 300 ожидающих авторизации запросов на аккаунт.		* 300 ожидающих авторизации запросов на аккаунт.

		+	Здесь [https://crt.sh/ crt.sh] можно просмотреть количество сертификатов выпущеных для домена.
	[[Категория:Web]]		[[Категория:Web]]

@@ Строка 87: / Строка 87: @@
 nginx -s reload
 </syntaxhighlight>
 Подготовка завершена, переходим непосредственно к запросу сертификата. В зависимости от вашего дистрибютива приложение может иметь разные названия (letsencrypt или certbot).
 <syntaxhighlight lang="bash">

@@ Строка 144: / Строка 144: @@
 Теперь наш сайт доступен по https соединению, при переходе по http будет срабатывать редирект на https.
 === Получение сертификата не для WEB ===
 == Обновление сертифкатов ==
 == Ограничения ==
+У Let’s Encrypt действуют такие ограничения:
 [[Категория:Web]]