LetsEncrypt

Материал из ALT Linux Wiki

Использовать Let's Encrypt очень просто. 

# apt-get install certbot

(Пакет доступен только для ALT Linux p8, p9 и Сизифа)

С работающим веб-сервером можно запустить примерно так: 

# certbot certonly --webroot -w$DIR -d $DOMAIN

указав каталог сайта DIR и домен. Главное, что должно получиться у letsencrypt — это создать файлы в каталоге сайта /.well-known, к которым сможет обратиться проверяющий сервер, который пойдёт по указанному домену. То есть проверить, что вы действительно имеете доступ к управлению сайтом.

Дальше в веб-сервере надо указать полученный для домена сертификат и закрытый ключ сервера. Пример для nginx: 

ssl_certificate      /etc/letsencrypt/live/example.ru/fullchain.pem;
ssl_certificate_key  /etc/letsencrypt/live/example.ru/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/example.ru/chain.pem;

Для периодического обновления сертификата можно добавить в cron.weekly: 

# cat /etc/cron.weekly/letsencrypt 
#!/bin/sh
/usr/bin/certbot -q renew

Фактическое обновление произойдёт только за месяц до окончания срока действия сертификата.

Для Apache2

Если в настройках виртуального хоста по умолчанию для сервиса httpd2 настроены редиректы с http на https (как, например, в дистрибутивах «АЛЬТ Образование»), можно использовать возврат к предоставлению информации по HTTP с использованием скрипта, который должен выполнять следующие действия.

  • Убирать редиректы с HTTP на HTTPS в нужном конфигурационном файле виртуального хоста.
  • Проверять корректность синтаксиса конфигурационного файла виртуального хоста.
  • Запрашивать выдачу нового SSL.
  • Восстанавливать убранные редиректы.
  • Перезапускать сервис httpd2 для «подхвата» обновленных сертификатов.

Пример скрипта: 

#!/bin/bash

#Убираем редиректы
sed -i "/^Rewrite/d"  "/etc/httpd2/conf/sites-enabled/000-default.conf"

#Проверяем синтаксис и логируем результат
httpd2 -t 2> /root/script_tmp/certbot_httpd2.log

#Перечитываем конфигурационные файлы сервиса httpd2 и логируем результат
systemctl reload httpd2 2>> /root/script_tmp/certbot_httpd2.log

#Запрашиваем новый SSL и логируем результат
/usr/bin/certbot -q renew 2>> /root/script_tmp/certbot_httpd2.log

#Удаляем завершающую часть конфигурационного файлы чтобы легче было добавить редиректы
sed -i "/^<\/VirtualHost>/d" "/etc/httpd2/conf/sites-enabled/000-default.conf"

#Добавляем новые редиректы и завершение конфигурационного файла
echo "RewriteEngine On"  >> /etc/httpd2/conf/sites-enabled/000-default.conf
echo "RewriteCond %{HTTPS} !=on"  >> /etc/httpd2/conf/sites-enabled/000-default.conf
echo "RewriteRule ^/(.*) https://%{HTTP_HOST}/$1 [R,L]"  >> 
/etc/httpd2/conf/sites-enabled/000-default.conf
echo "</VirtualHost>"  >> /etc/httpd2/conf/sites-enabled/000-default.conf

#Логируем внесенные изменения 
tail -n8 /etc/httpd2/conf/sites-enabled/000-default.conf >> /root/script_tmp/certbot_httpd2.log

#Перезапускаем сервис
systemctl restart httpd2 2>> /root/script_tmp/certbot_httpd2.log

Такой скрипт можно добавить в планировщик задач, чтобы своевременно обновлять сертификат сайта.

Ссылки

Администрирование