Инструменты пользователя

Инструменты сайта


Боковая панель

linux:free_ssl

Установка бесплатного SSL сертификата Let’s Encrypt в Debian

Чтобы защитить связь между клиентами и вашим сайтом (сервером), вам необходимо защитить ваше HTTP-соединение, зашифровав переданные данные по сети. Простым способом является использование протокола криптографической защиты TLS/SSL.

Сертификат Let’s Encrypt является бесплатным по сравнению с Comodo, IdenTrust или Symantec и самым популярным, и аналогично надежным.

Теперь мы настроим HTTPS на нашем хосте. Самый простой способ автоматической установки сертификата - использование клиента с поддержкой протокола ACME. ACME - автоматическая среда управления сертификатами, поможет нам автоматически запросить новый сертификат у CA (CA - центр сертификации, в нашем случае - Let’s Encrypt) и настроить веб-сервер для немедленной работы с HTTPS.

В нашем примере мы используем Certbot EFF. На официальном веб-сайте Certbot вы найдете инструкции по установке для каждого программного обеспечения / системы. Мы разворачиваем для Apache Web Server на Debian 9 (stretch).

Используя предоставленные инструкции, давайте установим Certbot

$ sudo apt install python-certbot-apache

Certbot может автоматически получать и устанавливать сертификат с помощью команды

$ sudo certbot --apache

Также можно установить вручную, запустив команду

$ sudo certbot --apache certonly

Вам будет предложено указать адрес электронной почты, на который вы хотите отправить сертификат. Введите адрес электронной почты и нажмите «Ввод»:

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel):

Затем прочитайте и примите «Условия обслуживания Let’s Encrypt», набрав букву «А»:

------------------------------------------------------------------------------- 
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v01.api.letsencrypt.org/directory \\
------------------------------------------------------------------------------- 
(A)gree/(C)ancel:

Теперь Certbot будет читать файлы конфигурации веб-сервера Apache для доступных хостов и запрашивать, на какие из них выдавать сертификаты.

Which names would you like to activate HTTPS for? 
------------------------------------------------------------------------------- 
1: mysite.com 
------------------------------------------------------------------------------- 
Select the appropriate numbers separated by commas and/or spaces, or leave input
blank to select all options shown (Enter 'c' to cancel):

У нас есть только один домен, поэтому я нажимаю «Ввод» для выпуска для всех. Если у вас есть пара доменов, введите число, связанное с требуемым доменом.

Obtaining a new certificate 
Performing the following challenges: 
tls-sni-01 challenge for mysite.com 
Enabled Apache socache_shmcb module 
Enabled Apache ssl module 
Waiting for verification... 
Cleaning up challenges 
Generating key (2048 bits): /etc/letsencrypt/keys/0000_key-certbot.pem 
Creating CSR: /etc/letsencrypt/csr/0000_csr-certbot.pem 
IMPORTANT NOTES: 
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/mysite.com/fullchain.pem. Your cert will
   expire on 2018-02-16. To obtain a new or tweaked version of this
   certificate in the future, simply run certbot again. To
   non-interactively renew *all* of your certificates, run "certbot
   renew" 
 - If you lose your account credentials, you can recover through
   e-mails sent to info@mysite.com. 
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.

Вот и все, сертификация для нашего домена mysite.com получена. Не забудьте прочитать информацию из важных примечаний к выпуску. Все файлы, расположенные по адресу /etc/letsencrypt/live/mysite.com

root@s1:# cd /etc/letsencrypt/live/mysite.com/ 
root@s1:/etc/letsencrypt/live/s1.dock.co.nz# ls 
cert.pem  chain.pem  fullchain.pem  privkey.pem  README

Выданные сертификаты действительны в течение 90 дней, поэтому не забудьте настроить автоматическое обновление, добавив задание в cron или systemd:

certbot renew

Полную документацию Certbot вы можете найти на официальном сайте

Создаем VirtualHost для работы с HTTPS

Изменим конфигурацию mysite.conf

<IfModule mod_ssl.c> 
<VirtualHost *:443> 
        ServerName mysite 
        ServerAdmin info@mysite.com 
        DocumentRoot /var/www/html 
        LogLevel debug 
        ErrorLog ${APACHE_LOG_DIR}/mysite_error.log 
        CustomLog ${APACHE_LOG_DIR}/mysite_access.log combined 
  SSLEngine on \\
  SSLProtocol all -SSLv2 \\
  SSLCertificateFile /etc/letsencrypt/live/mysite.com/cert.pem 
  SSLCertificateKeyFile /etc/letsencrypt/live/mysite.com/privkey.pem 
  SSLCertificateChainFile /etc/letsencrypt/live/mysite.com/chain.pem 
        <Directory /home/user/dock> 
                Options Indexes FollowSymLinks 
                AllowOverride All 
                Require all granted 
        </Directory> 
</VirtualHost> 
</IfModule>

Директива ifModule гарантирует, что раздел обрабатывается только при включенном модуле (mod_ssl в нашем случае). VirtualHost теперь прослушивает 443 порт вместо 80. И параметры SSLEngine включены с параметрами и путями для шифрования файлов сертификатов, созданных Certbot.

Чтобы включить модуль mod_ssl на веб-сервере Apache, выполните следующую команду:

$ sudo a2enmod ssl

Затем перезапустите веб-сервер, чтобы активировать новую конфигурацию:

$ sudo systemctl restart apache2

Вы можете проверить загруженные модули следующей командой

$ apachectl -M
Loaded Modules: 
... 
 core_module (static) 
 mpm_prefork_module (shared) 
 php7_module (shared) 
 ssl_module (shared) 
 status_module (shared) 
...

Теперь можете открыть свой сайт в браузере с помощью https и проверить, работает ли он.

Источник

linux/free_ssl.txt · Последнее изменение: 2019/03/20 11:33 — nesm

Инструменты страницы