Let’s Encrypt — это бесплатный открытый центр сертификации, разработанный исследовательской группой Internet Security Research Group (ISRG). Сертификатам, выданным Let’s Encrypt, сегодня доверяют почти все браузеры.
В этом руководстве мы предоставим пошаговые инструкции о том, как защитить ваш Nginx с помощью Let’s Encrypt с помощью инструмента certbot в CentOS 7.
Подготовка
Прежде чем продолжить работу с этим руководством, убедитесь, что вы выполнили следующие предварительные требования:
У вас есть доменное имя, указывающее на IP-адрес вашего публичного сервера. В этом руководстве мы будем использовать
Certbot — это простой в использовании инструмент, который может автоматизировать задачи по получению и обновлению SSL-сертификатов Let’s Encrypt и настройке веб-серверов.
Чтобы установить пакет certbot из репозитория EPEL, выполните:
sudo yum install certbot
Создать сильную группу Dh (Diffie-Hellman)
Обмен ключами Диффи – Хеллмана (DH) — это метод безопасного обмена криптографическими ключами по незащищенному каналу связи.
Сгенерируйте новый набор 2048-битных параметров DH, введя следующую команду:
При желании вы можете изменить размер до 4096 бит, но в этом случае генерация может занять более 30 минут в зависимости от энтропии системы.
Получение SSL-сертификата Let’s Encrypt
Чтобы получить сертификат SSL для нашего домена, мы собираемся использовать плагин Webroot, который работает путем создания временного файла для проверки запрашиваемого домена в каталоге
${webroot-path}/.well-known/acme-challenge
. Сервер Let’s Encrypt отправляет HTTP-запросы к временному файлу, чтобы убедиться, что запрошенный домен разрешается на сервер, на котором работает certbot.
Чтобы упростить
.well-known/acme-challenge
мы собираемся отобразить все HTTP-запросы для
.well-known/acme-challenge
в один каталог
/var/lib/letsencrypt
.
Следующие команды создадут каталог и сделают его доступным для записи для сервера Nginx.
sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp nginx /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt
Чтобы избежать дублирования кода, создайте следующие два фрагмента, которые мы собираемся включить во все наши файлы блоков сервера Nginx:
Приведенный выше фрагмент включает в себя модули обработки, рекомендованныеMozilla, включает сшивание OCSP, строгую безопасность передачи HTTP (HSTS) и обеспечивает соблюдение нескольких ориентированных на безопасность заголовков HTTP.
После создания фрагментов откройте блок сервера домена и
letsencrypt.conf
фрагмент
letsencrypt.conf
как показано ниже:
/etc/nginx/conf.d/example.com.conf
server {
listen 80;
server_name example.com;
include snippets/letsencrypt.conf;}
Перезагрузите конфигурацию Nginx, чтобы изменения вступили в силу:
sudo systemctl reload nginx
Теперь вы можете запустить Certbot с подключаемым модулем webroot и получить файлы сертификатов SSL для своего домена, выполнив:
Если сертификат SSL получен успешно, certbot напечатает следующее сообщение:
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/example.com/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/example.com/privkey.pem
Your cert will expire on 2018-06-11. To obtain a new or tweaked
version of this certificate in the future, simply run certbot
again. To non-interactively renew *all* of your certificates, run
"certbot renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
Теперь, когда у вас есть файлы сертификатов, вы можете отредактироватьблок сервера доменаследующим образом:
/etc/nginx/conf.d/example.com.conf
server {
listen 80;
server_name example.com;
include snippets/letsencrypt.conf;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
include snippets/ssl.conf;
include snippets/letsencrypt.conf;
# . . . other code
}
В приведенной выше конфигурации мыфорсируем HTTPSи перенаправляем версию с www на версию без www.
Наконец,перезагрузите службу Nginx,чтобы изменения вступили в силу:
Сертификаты Let’s Encrypt действительны в течение 90 дней. Чтобы автоматически продлевать сертификаты до истечения срока их действия, мысоздадим задание cron,которое будет запускаться два раза в день и автоматически обновлять любой сертификат за 30 дней до истечения срока его действия.
Чтобы протестировать процесс обновления, вы можете использовать команду certbot с параметром
--dry-run
:
sudo certbot renew --dry-run
Если ошибок нет, значит процесс продления теста прошел успешно.
Выводы
В этом руководстве вы использовали клиент Let’s Encrypt, certbot, для загрузки сертификатов SSL для вашего домена. Вы также создали сниппеты Nginx, чтобы избежать дублирования кода, и настроили Nginx для использования сертификатов. В конце руководства вы настроили задание cron для автоматического продления сертификата.
P. S.
Возможно у кого не получилось запустить сертификаты, тогда используйте мою настройку для nginx, по которой мой сайт заработал, и по которой заработало автообноление сертификатов
В последней версии Nginx настройка мульти сайтов находятся по пути: /etc/nginx/sites-available/example.com.conf.
Вот сама настройка сайта:
Внимайте сайт на движке Netcat и конфиг соотвественно для Netcat
server {
listen 443 ssl http2;
server_name example.com;
root /var/www/example.com/;
set $home_path /var/www/example.com/;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/example.com/chain.pem;
include /etc/nginx/snippets/ssl.conf;
include /etc/nginx/snippets/letsencrypt.conf;
add_header Strict-Transport-Security max-age=15768000;
location ~ \.php$ {
root /var/www/example.com/;
include /etc/nginx/templates/hsts.tmpl;
include /etc/nginx/templates/fastcgi_php.tmpl;
fastcgi_param SCRIPT_FILENAME $home_path$fastcgi_script_name;
include fastcgi_params;
}
location / {
root /var/www/example.com/;
index index.php;
fastcgi_cache_key "$request_method|$http_if_modified_since|$http_if_none_match|$host|$request_uri";
try_files $uri $uri/ /netcat/require/e404.php?REQUEST_URI=$uri&$args;
}
}
Размещено : 06.04.2022 18:47
Оставьте ответ
Мы используем cookie-файлы для наилучшего представления нашего сайта. Продолжая использовать этот сайт, вы соглашаетесь с использованием cookie-файлов.
