Certbot: Shigar da Mu Rufe Takaddun shaida

A cikin wannan labarin, za mu bincika tsarin shigarwa da daidaitawa Certbot a kan uwar garken Linux. Za mu yi bayani dalla-dalla yadda ake samun takardar shedar Mu Encrypt SSL/TLS don yankinku. Za mu kuma bayyana yadda ake shigar da shi a kan sabar gidan yanar gizo (kamar Nginx ko Apache) da kafa sabuntawar takaddun shaida ta atomatik don tabbatar da ci gaba da haɗin gwiwa tare da albarkatun yanar gizon ku.

Certbot kayan aiki ne na kyauta, buɗaɗɗen tushe wanda aka ƙera don siye da sabuntawa ta atomatik Takaddun shaida na SSL/TLS. Yana taka muhimmiyar rawa wajen tabbatar da haɗin kai tsakanin uwar garken da abokin ciniki, yana kare bayanai daga shiga mara izini. Certbot yana sauƙaƙa tsarin shigarwa da sabuntawa na takardar shaidar SSL. Ba wai kawai takardar shaidar tana haɓaka tsaro ba, har ma tana haɓaka amincin mai amfani ga albarkatun yanar gizon ku, ta haka inganta ƙimar rukunin yanar gizon da martabar injin bincikensa.

Shigar da Certbot

An haɗa Certbot a yawancin rabawa ta tsohuwa, don shigar da shi Debian / Ubuntu tsarin, kawai kuna buƙatar sabunta jerin fakitin:

apt update

Sa'an nan, fara shigarwa tsari:

apt install certbot

Certbot yana goyan bayan plugins waɗanda ke sauƙaƙe saiti da daidaitawar takaddun shaida don sabar gidan yanar gizo. Don shigar da waɗannan plugins, yi amfani da umarnin da ya dace:

apt install certbot python3-certbot-nginx # for Nginx
apt install certbot python3-certbot-apache # for Apache

Tsarin shigarwa don Red Hat tsarin (kamar RHEL, CentOS, Fedora) ya ɗan bambanta. Da farko, kuna buƙatar ƙara ma'ajiyar EPEL:

yum install epel-release

Sannan shigar da kayan aiki:

yum install certbot

Hakazalika, akwai zaɓi don zaɓar plugin don takamaiman sabar gidan yanar gizo:

yum install python3-certbot-nginx # for Nginx
yum install python3-certbot-apache # for Apache

Bayan shigarwa, zaku iya ci gaba nan da nan don samun takaddun shaida.

Samun Takaddun shaida na SSL

A cikin wannan sashe, za mu tattauna tsarin samun takaddun shaida ba tare da takamaiman sabar gidan yanar gizo ba, sannan kuma ta bayyana tsarin shigar da takardar shaidar Nginx da Apache. Koyaya, yana da mahimmanci da farko don fahimtar ma'amala da ayyukan shirin. Ya bayyana kamar haka:

certbot command option -d domain

Manyan umarni sun haɗa da:

certbot certonly - Yana dawo da takardar shaidar amma baya shigar dashi.
certbot certificates - Wannan umarnin yana nuna jerin duk takaddun takaddun da aka shigar.
certbot renew - Yana haɓaka takardar shaidar da ke akwai.
certbot revoke - Yana soke takardar shedar data kasance.
certbot delete - Yana share takaddun shaida.

Zaɓuɓɓukan da aka fi amfani da su sune:

--nginx - Yana amfani da rubutun sanyi na Nginx don tabbatar da yanki.
--apache - Yana amfani da rubutun sanyi na Apache don tabbatar da yanki.
-d - Jerin wuraren da ake buƙatar takardar shaidar.
--standalone - Yana amfani da yanayin keɓe don tabbatar da yanki.
--manual - Yana aiwatar da tabbacin yankin da hannu.

Wannan misali ne kawai na umarni da zaɓuɓɓuka masu yawan gaske. Kuna iya sanin kanku da cikakken jerin damar shirye-shiryen a cikin sashin taimako:

certbot –help

Yanzu mun ci gaba don samun takaddun shaida. A matsayin misali, za mu sami takaddun shaida don a uwar garke ta atomatik don yanki na mataki na uku kyauta kamar yourusername.pserver.space

Da farko, kuna buƙatar shigar da umarni:

certbot certonly

A cikin martani, mai amfani zai tambaye ka ka zaɓi hanya don tabbatar da mallakar yanki:

Zaɓin farko ya dace idan ba ku da saitunan sabar gidan yanar gizo ko kuma ba kwa son yin canje-canje ga wanda ke akwai. Wannan hanyar tana ƙirƙirar sabar gidan yanar gizo ta wucin gadi don tabbatar da haƙƙin ku ga yankin. Yana da manufa don saiti mai sauƙi da sauri. Lokacin zabar wannan hanyar, yana da mahimmanci don kiyaye tashar jiragen ruwa 80 kyauta.

Zaɓin na biyu ya fi dacewa idan kun riga kuna da sabar gidan yanar gizo tana aiki, kuma kuna son amfani da shi don tabbatar da haƙƙin yankin. Certbot yana sanya fayiloli na musamman a cikin babban fayil akan sabar ku, waɗanda cibiyar ba da tabbaci za ta duba su.

Mun zaɓi zaɓi na farko kuma mu danna gaba. A wannan mataki, kuna buƙatar:

1. Shigar da adireshin imel;
2. Yarda da sharuɗɗan sabis;
3. Yarda ko ƙin karɓar imel a madadin kamfani da abokan haɗin gwiwa;
4. Ƙayyade sunan yankin wanda aka bayar da takardar shaidar.

Bayan kammala aikin bayar da takaddun shaida tare da kayan aikin Certbot, zai nuna hanyar zuwa kundin adireshi inda aka adana takaddun da aka bayar da bayanan asusun ku:

Duk abin da ya rage shine don haɗa takaddun da aka samu zuwa sabis ɗin da ake buƙata.

Shigar da Takaddun shaida don Nginx ko Apache

Wannan sashe yana ɗauka cewa an cika wasu sharuɗɗa na asali:

1. Kun riga kun shigar kuma kun saita sabar gidan yanar gizo, ko dai Nginx ko Apache. Dole ne a sami damar yin amfani da shi daga intanet ta hanyar sunan yankin da kuke son samun takardar shedar;
2. Yayin shigar da kayan aiki, kun kuma shigar da plugin don Nginx ko Apache ta amfani da umarnin da ya dace;
3. Tacewar zaɓi yana ba da damar haɗi akan tashoshin jiragen ruwa 80 da 443. Idan waɗannan tashoshin jiragen ruwa suna rufe su zuwa haɗin kai, sabis ɗin ba zai kasance ba don haɗin mai shigowa. Don ƙarin cikakkun bayanai game da aikin Firewall, mun tattauna wannan a cikin labarin akan kafa Firewall akan Linux.

Da zarar duk sharuɗɗan sun cika, zaku iya ci gaba kai tsaye zuwa bayar da takaddun shaida. Za mu yi la'akari da tsarin samun takardar shaidar SSL akan sabar ta amfani da Nginx a matsayin misali. Koyaya, idan kuna amfani da sabar gidan yanar gizo ta Apache, tsarin gaba ɗaya iri ɗaya ne.

Don samun takaddun shaida, kuna buƙatar shigar da umarni:

certbot --nginx # for Nginx
certbot --apache # for Apache

Don amsawa, kayan aikin zai buƙaci: adireshin imel, yarda da sharuɗɗan amfani da sabis ɗin Mu Encrypt, da izinin aika saƙon imel a madadin sabis ɗin da abokan haɗin gwiwa.

Bayan haka, kuna buƙatar saka sunan yankin wanda aka ba da takaddun shaida. Certbot na iya tantance yankin ta atomatik idan an ayyana shi a cikin server_name filin don Nginx daidaitawa ko Sunan Sunan da kuma ServerAlias domin Apache. Idan ba a kayyade ba, shirin zai sanar da ku kuma ya tambaye ku don shigar da sunan yankin da hannu. Bayan haka, mai amfani zai tambayi ko don ba da damar tura buƙatun daga HTTP zuwa ka'idar HTTPS. Don saita jujjuyawar atomatik, yakamata ku zaɓi zaɓi na biyu:

Bayan wani lokaci, Certbot zai sanar da ku nasarar samun takardar shedar don ƙayyadadden yanki. Daga wannan gaba gaba, duk haɗin da ke shigowa za a tura shi daga tashar jiragen ruwa 80 zuwa 443. Kayan aiki zai nuna kundayen adireshi inda zaku iya nemo duk bayanan takaddun shaida da cikakkun bayanan asusu na Mu Encrypt:

Saƙon kuma zai ƙididdige lokacin ingancin satifiket ɗin da aka samu da mahimman zaɓuɓɓuka don sarrafa duk takaddun shaida masu aiki:

1. tabbas. Ana amfani da wannan zaɓi don samun ko sabunta takaddun shaida ba tare da saitin sabar gidan yanar gizo ta atomatik ba. Certbot kawai zai buƙaci ko sabunta takaddun shaida amma ba zai yi kowane canje-canje ta atomatik ga tsarin uwar garken ba. A baya, mun yi amfani da wannan zaɓi don samun takaddun shaida ba tare da an ɗaure mu da sabar gidan yanar gizo ba.
2. sabuntawa ana amfani dashi don sabuntawa ta atomatik na duk takaddun takaddun da aka samu ta Certbot kuma suna cikin lokacin ingancin su. Shirin zai duba duk takaddun shaida, kuma idan ɗayansu ya ƙare a cikin kwanaki 30 ko ƙasa da haka, za a sabunta shi ta atomatik.

Na gaba a cikin umarnin, za mu tattauna yadda za a kafa sabuntawa ta atomatik na takaddun shaida ba tare da sa hannun mai amfani ba kowane watanni uku.

Sabunta Takaddun shaida ta atomatik a cikin Certbot

Don Debian/Ubuntu

Lokacin amfani da waɗannan tsarukan aiki, Certbot tana ƙara rubutu ta atomatik zuwa jerin ɗawainiya don sabuntawa ta atomatik na takaddun shaida da aka shigar. Kuna iya bincika aikin rubutun tare da umarni mai zuwa:

systemctl status certbot.timer

Amsar za ta nuna matsayin sabis ɗin, da kuma adireshin da ke ɗauke da fayil ɗin sanyi. Kuna iya buɗe wannan ta amfani da kowane editan rubutu. Idan ba ku da gogewa da masu gyara rubutu a Linux, muna ba da shawarar sanin kanku da su mu bayyani na mafi mashahuri mafita. A wannan yanayin, za mu yi amfani da nano:

nano /lib/systemd/system/certbot.timer

Ana haskaka duk mahimman sigogi:

1. Jadawalin yana nuna cewa sabis ɗin zai gudana sau biyu a rana a 00:00 da 12:00;
2. Ƙimar ta biyu tana nuna bazuwar jinkiri a cikin daƙiƙa waɗanda za a ƙara zuwa farkon mai ƙidayar lokaci. A wannan yanayin, yana da 43,200 seconds (12 hours), wanda ya sa ƙaddamarwa ya fi bazuwar kuma ya yada kaya;
3. Wannan siga yana tabbatar da cewa idan an kamata a aiwatar da mai ƙidayar lokaci yayin rufewar tsarin, za a kunna shi nan da nan da farawa.

Hakanan zaka iya gudanar da rajistan tilas na sabunta takaddun shaida tare da umarni:

certbot renew --dry-run

Amfani da wannan umarni, ba za a sabunta takaddun shaida ba. Madadin haka, kayan aikin zai aiwatar da ayyuka masu kama da samun takaddun shaida a kan ƙarewar sa. Ta wannan hanyar, zaku iya tabbatar da ayyukan sabis game da sabuntawa ta atomatik.

Don CentOS, Fedora, da sauransu

Tsarin kunna sabuntawa ta atomatik akan tsarin iyali na Red Hat ya bambanta kaɗan. Ba kamar Debian/Ubuntu ba, don CentOS da sauran tsarin, kuna buƙatar ƙara ɗawainiya da hannu zuwa mai tsarawa. Don wannan, za mu yi amfani da cron kayan aiki:

crontab -e

Sannan, a cikin fayil ɗin da ya buɗe, ƙara layin da ke gaba:

0 12 * * * /usr/bin/certbot renew --quiet

Bari mu karya manyan dalilan umarnin:

1. Lokacin aiwatarwa. A wannan yanayin, umarnin zai gudana ta atomatik a 12:00 kowace rana;
2. Umurnin sabunta takaddun SSL/TLS ta amfani da Certbot;
3. The -- shiru Tuta yana danne fitarwa, yana sa tsarin ya zama mafi ɓoye kuma ƙasa da kutsawa cikin rajistan ayyukan ko nuni.

Bayan ƙara umarnin, kuna buƙatar adana canje-canje a cikin fayil ɗin.

Kamar dai tare da Debian/Ubuntu, Hakanan zaka iya fara rajistan tilas na sabunta takaddun shaida:

certbot renew --dry-run

Sakamakon nasarar aiwatar da umarnin yayi kama da haka:

Kammalawa

Mun bincika cikakken tsari na shigarwa da daidaitawa Certbot akan sabar Linux. Ta bin umarnin da aka bayar, zaku iya samun nasarar samun takardar shedar SSL/TLS daga Bari Mu Encrypt, shigar da shi akan sabar gidan yanar gizon ku, kuma saita sabuntawa ta atomatik don tabbatar da ci gaba da kariya da ƙara dogaro ga albarkatun yanar gizon ku. Tare da Certbot, zaka iya ƙirƙirar ingantaccen yanayi mai aminci ga masu amfani cikin sauƙi.