ACME SSL /TLS Automatizálás az Apache és az Nginx segítségével

Ez a útmutató végigvezeti Önt az automatizált tanúsítvány telepítés és megújítás beállításán az SSL.com segítségével az Apache és az Nginx számára az ACME protokollal és a Certbot klienssel.

Telepítse a Certbot szoftvert, és szerezze be az ACME hitelesítő adatokat

1. SSH a webszerverre.
2. Győződjön meg arról, hogy a certbotaz Apache és az Nginx beépülő modulokkal együtt telepítve van a webkiszolgálóra:
   • Ha van snapd telepítve, ezt a parancsot használhatja a telepítéshez:

     sudo snap install -klasszikus certbot

   • If /snap/bin/ nincs a tiédben PATH, akkor hozzá kell adnia vagy futtatnia kell egy ilyen parancsot:

     sudo ln -s / snap / bin / certbot / usr / bin / certbot

3. Szerezze be ACME hitelesítő adatait az SSL.com fiókjából:
   1. Jelentkezzen be SSL.com fiókjába. Ha már be van jelentkezve, lépjen a Műszerfal Tab.
      
   2. Kattints api hitelesítő adatokalatt található fejlesztők és az integráció.
      
   3. Szükséged lesz a Számla / ACME kulcs és a HMAC kulcs igazolásokat kérni. Kattintson a vágólap ikonjára () az egyes kulcsok mellett az érték vágólapra másolásához.
      

Apache telepítés és automatizálás

Használjon egy ilyen parancsot az Apache telepítéséhez. Az ALL CAPS értékeit cserélje le a tényleges értékekre:

sudo certbot --apache --e-mail E-MAIL-CÍM --agree-tos --no-eff-email --config-dir /etc/ssl-com --logs-dir /var/log/ssl-com --eab -kid ACCOUNT-KEY --eab-hmac-key HMAC-KEY --szerver https://acme.ssl.com/sslcom-dv-ecc -d DOMAIN.NAME

A parancs lebontása:

• sudo certbot fut a certbot parancs superuser jogosultságokkal.
• --apache megadja az Apache-hoz használható tanúsítványok telepítését.
• --email EMAIL-ADDRESS megadja a regisztrációs e-mail címet. Megadhat több címet vesszővel elválasztva.
• --agree-tos (opcionális) elfogadja az ACME előfizetői megállapodást. Ezt kihagyhatja, ha interaktív módon szeretne megállapodni.
• --no-eff-email (opcionális) azt jelzi, hogy nem szeretné megosztani e-mail címét az EHA-val. Ha ezt elmulasztja, a rendszer megkéri, hogy ossza meg e-mail címét.
• --config-dir /etc/ssl-com (opcionális) beállítja a konfigurációs könyvtárat.
• --logs-dir /var/log/ssl-com (opcionális) a naplók könyvtárát állítja be.
• --eab-kid ACCOUNT-KEY adja meg a fiók kulcsát.
• --eab-hmac-key HMAC-KEY megadja a HMAC kulcsát.
• --server https://acme.ssl.com/sslcom-dv-ecc meghatározza az SSL.com ACME szerverét.
• -d DOMAIN.NAME meghatározza azt a domain nevet, amelyre a tanúsítvány kiterjed.

A parancs futtatása után az ilyen kimenetet kell látnia:

Hibakeresési napló mentése a /var/log/ssl-com/letsencrypt.log könyvtárba Kiválasztott bővítmények: Authenticator apache, Installer apache Új tanúsítvány beszerzése A következő kihívások végrehajtása: A DOMAIN.NAME http-01 kihívása ellenőrzésre vár ... Kihívások tisztítása SSL vhostot hozott létre a /etc/apache2/sites-available/DOMAIN-le-ssl.conf fájlban. Tanúsítvány telepítése a VirtualHost-hoz /etc/apache2/sites-available/DOMAIN-le-ssl.conf A rendelkezésre álló webhely engedélyezése: / etc / apache2 / sites-available / DOMAIN-le-ssl.conf A vhost átirányítása az /etc/apache2/sites-enabled/DOMAIN.NAME.conf fájlba ssl vhost fájlba az /etc/apache2/sites-available/DOMAIN-le-ssl.conf fájlban - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Gratulálunk! Sikeresen engedélyezte a https://DOMAIN.NAME - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

A Certbot egy ilyen crontab fájlt is létrehoz egy 30 napon belül lejáró certbot által telepített tanúsítvány automatikus, nem interaktív megújításához:

$ cat /etc/cron.d/certbot # /etc/cron.d/certbot: crontab bejegyzések a certbot csomaghoz # # Az Upstream naponta kétszer megkísérli a megújítás megkísérlését # # Végül ez alkalmat nyújt a # haven 'igazolások érvényesítésére t visszavonták, stb. A megújítás csak akkor következik be, ha a lejárati idő 30 napon belül van. # # Fontos jegyzet! Ez a cronjob NEM fog végrehajtódni, ha # a systemd rendszert futtatja az init rendszerként. Ha a systemd rendszert futtatja, # a cronjob.timer függvény elsőbbséget élvez ezzel a cronjobval szemben. # További részletekért tekintse meg a systemd.timer oldalt, vagy használja a systemctl show # certbot.timer fájlt. SHELL = / bin / sh PATH = / usr / local / sbin: / usr / local / bin: / sbin: / bin: / usr / sbin: / usr / bin 0 * / 12 * * * root teszt -x / usr / bin / certbot -a \! -d / run / systemd / system && perl -e 'sleep int (rand (43200))' && certbot -q megújítás

Nginx telepítés és automatizálás

A Nginx esetében egyszerűen cserélje ki --nginx mert --apache a fenti parancsban:

sudo certbot --nginx --email E-MAIL-CÍM --agree-tos --no-eff-email --config-dir /etc/ssl-com --logs-dir /var/log/ssl-com --eab -kid ACCOUNT-KEY --eab-hmac-key HMAC-KEY --szerver https://acme.ssl.com/sslcom-dv-ecc -d DOMAIN.NAME

A megújítás kényszerítése manuálisan

Ha manuálisan szeretné megújítani a tanúsítványt a lejárat küszöbén, akkor használja ezt a parancsot:

certbot megújítása - erő-megújítás - cert-név DOMAIN.NAME