Форум

Форумы
ПРОЧИЕ
Сервер
Установка 3 месячны...
 
Уведомления
Очистить все

Инфо Установка 3 месячных SSL сертификатов на Nginx - CentOS 7 с помощью Let’s Encrypt + автобновление

 
    Последний пост
 
Павел Лунный
 Павел Лунный
Авторитетный участник Админ

Let’s Encrypt — это бесплатный открытый центр сертификации, разработанный исследовательской группой Internet Security Research Group (ISRG). Сертификатам, выданным Let’s Encrypt, сегодня доверяют почти все браузеры.

В этом руководстве мы предоставим пошаговые инструкции о том, как защитить ваш Nginx с помощью Let’s Encrypt с помощью инструмента certbot в CentOS 7.

Подготовка

Прежде чем продолжить работу с этим руководством, убедитесь, что вы выполнили следующие предварительные требования:

  • У вас есть доменное имя, указывающее на IP-адрес вашего публичного сервера. В этом руководстве мы будем использовать 
    example.com

     

  • Вы включили репозиторий EPEL и установили Nginx, следуя инструкциям по установке Nginx на CentOS 7

Установить Certbot

Certbot — это простой в использовании инструмент, который может автоматизировать задачи по получению и обновлению SSL-сертификатов Let’s Encrypt и настройке веб-серверов.

Чтобы установить пакет certbot из репозитория EPEL, выполните:

sudo yum install certbot

Создать сильную группу Dh (Diffie-Hellman)

Обмен ключами Диффи – Хеллмана (DH) — это метод безопасного обмена криптографическими ключами по незащищенному каналу связи.

Сгенерируйте новый набор 2048-битных параметров DH, введя следующую команду:

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048
При желании вы можете изменить размер до 4096 бит, но в этом случае генерация может занять более 30 минут в зависимости от энтропии системы.

Получение SSL-сертификата Let’s Encrypt

Чтобы получить сертификат SSL для нашего домена, мы собираемся использовать плагин Webroot, который работает путем создания временного файла для проверки запрашиваемого домена в каталоге

${webroot-path}/.well-known/acme-challenge

. Сервер Let’s Encrypt отправляет HTTP-запросы к временному файлу, чтобы убедиться, что запрошенный домен разрешается на сервер, на котором работает certbot.

 

Чтобы упростить

.well-known/acme-challenge

мы собираемся отобразить все HTTP-запросы для

.well-known/acme-challenge

в один каталог

/var/lib/letsencrypt

.

 

Следующие команды создадут каталог и сделают его доступным для записи для сервера Nginx.

sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp nginx /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt

Чтобы избежать дублирования кода, создайте следующие два фрагмента, которые мы собираемся включить во все наши файлы блоков сервера Nginx:

sudo mkdir /etc/nginx/snippets
/etc/nginx/snippets/letsencrypt.conf
location ^~ /.well-known/acme-challenge/ {
  allow all;
  root /var/lib/letsencrypt/;
  default_type "text/plain";
  try_files $uri =404;
}
/etc/nginx/snippets/ssl.conf
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:20m;
ssl_session_tickets off;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;
add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;

Приведенный выше фрагмент включает в себя модули обработки, рекомендованныеMozilla, включает сшивание OCSP, строгую безопасность передачи HTTP (HSTS) и обеспечивает соблюдение нескольких ориентированных на безопасность заголовков HTTP.

После создания фрагментов откройте блок сервера домена и

letsencrypt.conf

фрагмент

letsencrypt.conf

как показано ниже:

 

/etc/nginx/conf.d/example.com.conf
server {
  listen 80;
  server_name example.com;
include snippets/letsencrypt.conf;}

Перезагрузите конфигурацию Nginx, чтобы изменения вступили в силу:

sudo systemctl reload nginx

Теперь вы можете запустить Certbot с подключаемым модулем webroot и получить файлы сертификатов SSL для своего домена, выполнив:

sudo certbot certonly --agree-tos --email admin@example.com --webroot -w /var/lib/letsencrypt/ -d example.com

Если сертификат SSL получен успешно, certbot напечатает следующее сообщение:

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/example.com/privkey.pem
   Your cert will expire on 2018-06-11. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:    https://letsencrypt.org/donate 
   Donating to EFF:                     https://eff.org/donate-le

Теперь, когда у вас есть файлы сертификатов, вы можете отредактироватьблок сервера доменаследующим образом:

/etc/nginx/conf.d/example.com.conf
server {
    listen 80;
    server_name example.com;

    include snippets/letsencrypt.conf;
    return 301  https://$host$request_uri; 
}
server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    # . . . other code
}

В приведенной выше конфигурации мыфорсируем HTTPSи перенаправляем версию с www на версию без www.

Наконец,перезагрузите службу Nginx,чтобы изменения вступили в силу:

sudo systemctl reload nginx

Автоматическое продление SSL-сертификата Let’s Encrypt

Сертификаты Let’s Encrypt действительны в течение 90 дней. Чтобы автоматически продлевать сертификаты до истечения срока их действия, мысоздадим задание cron,которое будет запускаться два раза в день и автоматически обновлять любой сертификат за 30 дней до истечения срока его действия.

Запустите команду

crontab

чтобы создать новое задание

crontab

:

 

sudo crontab -e

Вставьте следующие строки:

">0 */12 * * * root test -x /usr/bin/certbot -a ! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload nginx"

Сохраните и закройте файл.

Чтобы протестировать процесс обновления, вы можете использовать команду certbot с параметром

--dry-run

:

 

sudo certbot renew --dry-run

Если ошибок нет, значит процесс продления теста прошел успешно.

Выводы

В этом руководстве вы использовали клиент Let’s Encrypt, certbot, для загрузки сертификатов SSL для вашего домена. Вы также создали сниппеты Nginx, чтобы избежать дублирования кода, и настроили Nginx для использования сертификатов. В конце руководства вы настроили задание cron для автоматического продления сертификата.

P. S.

Возможно у кого не получилось запустить сертификаты, тогда используйте мою настройку для nginx, по которой мой сайт заработал, и по которой заработало автообноление сертификатов

В последней версии Nginx настройка мульти сайтов находятся по пути: /etc/nginx/sites-available/example.com.conf.

Вот сама настройка сайта:

Внимайте сайт на движке Netcat и конфиг соотвественно для Netcat

server {
listen 443 ssl http2;
server_name example.com;
root /var/www/example.com/;
set $home_path /var/www/example.com/;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/example.com/chain.pem;

include /etc/nginx/snippets/ssl.conf;
include /etc/nginx/snippets/letsencrypt.conf;


add_header Strict-Transport-Security max-age=15768000;

location ~ \.php$ {
root /var/www/example.com/;
include /etc/nginx/templates/hsts.tmpl;
include /etc/nginx/templates/fastcgi_php.tmpl;
fastcgi_param SCRIPT_FILENAME $home_path$fastcgi_script_name;
include fastcgi_params;
}
location / {
root /var/www/example.com/;
index index.php;
fastcgi_cache_key "$request_method|$http_if_modified_since|$http_if_none_match|$host|$request_uri";
try_files $uri $uri/ /netcat/require/e404.php?REQUEST_URI=$uri&$args;
}

}
ОтветитьЦитата
Автор темы Размещено : 06.04.2022 18:47

Оставьте ответ

Имя автора

Электронная почта автора

Заголовок *

Прыжок с форума:
  Предыдущая тема
Следующая тема  
Мы используем cookie-файлы для наилучшего представления нашего сайта. Продолжая использовать этот сайт, вы соглашаетесь с использованием cookie-файлов.
Принять
Подробнее…
Политика конфиденциальности