Anul trecut, Google a lăsat pe toți să știe. că este timpul să conectați certificatele SSL la site-urile dvs. Acum, în mod prestabilit, vor fi preferate site-urile care utilizează o conexiune securizată. În legătură cu aceasta, o hype recenta despre certificatele SSL gratuite (mult așteptate). Cu sprijinul Fundației Linux, precum Mozilla, Facebook, Akamai, Cisco și alți giganți eminenți ai industriei IT, lumina a văzut un proiect numit Let's Encrypt.
Proiectul este destinat în principal pentru a proteja web, precum și a face viața mai ușoară pentru dezvoltatorii web obișnuite (toate acest tam-tam cu generarea de chei private, CSR, să confirmați proprietatea asupra domeniului, configurarea unui server web și așa mai departe nega). În plus, certificatele SSL. Hai să criptăm, complet gratuit. Există un adevăr în ele, dar ele sunt de bază, iar perioada de valabilitate este limitată la 3 luni (dar acest lucru nu este o problemă, deoarece extensia poate fi configurat în mod automat).
Voi spune imediat că am pus certificatul de la Let's Encrypt pe blogul meu.
Este demn de remarcat faptul că acum proiectul se află la etapa beta, astfel încât pot exista erori în funcționarea scenariilor.
Întregul proces de lucru cu serviciul utilizează scriptul python letsencrypt. În prezent, nu toate distribuțiile linux au pachete letencrypt, astfel încât documentația oficială recomandă punerea lor pre-tipped repository git de la github.
letsencrypt-auto este un script de wrapper în jurul lui letsencrypt. care automatizează procesul de implementare. Pur și simplu pune, script-ul descarcă toate dependențele necesare, ridică un mediu virtual separat pentru Python, folosind virtualenv, instalarea necesare Python-module, fără înfundarea sistemului piton. Este demn de remarcat faptul că (sudo) să funcționeze corect, script-ul trebuie să aibă acces de scriere la directorul de sistem.
Deoarece scriptul este proiectat pentru a face cât mai ușor posibil instalarea certificatelor de securitate, acesta suportă un sistem plug-in. De exemplu, în pachetul standard există un plug-in pentru a lucra cu Apache (complet funcțional) și nginx (până acum numai în stadiul experimental).
Instalarea unui certificat SSL pentru Apache
Blogul meu rulează pe un pachet LAMP, adică Linux, Apache, MySQL și PHP. Dezvoltatorii programului Let's Encrypt au încercat să glorifice și să simplifice setarea certificatului pentru Apache la nivelul "nu este niciodată mai ușor". Întregul proces este redus la următorii pași:
- Verificați proprietatea asupra domeniului
- Eliberați certificatul necesar pentru o perioadă de 90 de zile
- Efectuați toate setările necesare pentru serverul web Apache
După toate aceste manipulări, trebuia să configurez 301 redirecționări (mutate permanent) de la http la https și să repornește serverul web.
Configurarea certificatelor SSL pentru alte servere Web
În livrarea de opțiuni, pe lângă plug-in-ul pentru a lucra cu Apache, există și alte câteva, și anume:
autonomă
Esența independentă este că script-ul va încerca să ridica propriul server de web pe durata procedurii de obținere a certificatului (pentru verificarea proprietății asupra domeniului), iar pentru acest lucru va fi necesar pentru a dezactiva un rulează deja, pentru a elibera porturile 80 și 443. Pentru majoritatea dezvoltatorilor web opțiunea incomode din cauza necesității de a deconecta site-ul.
Această opțiune este potrivită pentru cei care nu-i plac standalone. Dacă specificați opțiunea --webroot, va trebui, de asemenea, să specificați directorul în care sunt localizate fișierele pe care sunt procesate serverul web.
Când lucrați cu această opțiune, trebuie să configurați serverul Web pentru a citi fișierele în mod corespunzător.
De la numele pe care îl poate ghici că configurarea și instalarea de certificat SSL va fi efectuată manual :-) Poate că acum este cel mai convenabil mod de a configura un certificat pentru Nginx din cauza „umiditate“ letsencrypt plugin Nginx.
După introducerea acestei comenzi, va trebui să efectuați independent manipularea confirmării domeniului plasând un fișier cu conținutul specificat în directorul dorit de pe site. Când procedura de creare a certificatului este completă, toate fișierele necesare vor fi stocate în următoarea cale: / etc / letsencrypt / live / $ domain. Subdirectorul live conține toate cele mai actuale certificate și chei, în timp ce cheile și arhivele conțin toate fișierele create anterior.
Configurarea SSL în Nginx
Deci, dacă procedura de creare a certificatelor în modul manual a avut succes, atunci în directorul de mai sus vom găsi toate fișierele necesare pentru configurarea unei conexiuni securizate.
- privkey.pem - cheia noastră privată
- cert.pem - certificat de server
- chain.pem - rădăcină și intermediară (intermediară)
- fullchain.pem - toate certificatele de care avem nevoie pentru a configura serverul web.
Cum arată Nginx în acest caz?
Tipii de la letsencrypt nu sfătuiesc fișierele în mișcare, deoarece când certificatul este reînnoit, cele vechi vor fi înlocuite automat de noi pe aceleași căi, este mai bine să creați legături simbolice în acest caz.
Reînnoirea certificatului SSL
Anterior am menționat că certificatele SSL gratuite "trăiesc" doar 90 de zile, astfel încât, după expirarea acestora, va fi necesară derularea procedurii de reînnoire, beneficiul fiind, de asemenea, gratuit :-)
Care este procesul de extindere?
Așa cum se spune în Let's Criptare, înainte de expirare, poșta indicată la creare vine cu o scrisoare de notificare corespunzătoare care precizează că este timpul să reînnoi certificatul. Pentru a face acest lucru manual, rulați comanda:
Și urmați instrucțiunile de pe ecran. Reînnoirile automate pot fi configurate utilizând fișierul de configurare și crontabul obișnuit. Este de dorit să ajustați coroanele astfel încât extinderea să nu se producă mai mult de o dată pe lună.
Dacă rulați de pe Windows, atunci letsencrypt poate fi instalat folosind Vagrant sau Docker. În acest caz, pentru a configura corect serverul web, va trebui să mutați manual toate fișierele pe server.
Există mai mult de 1000 de participanți pe canal, deci aderați și voi - DevBrain