Certbot: Installéiere vum Let's Encrypt Certificate

An dësem Artikel wäerte mir de Prozess vun der Installatioun an der Konfiguratioun entdecken certbot op engem Linux Server. Mir wäerten am Detail erklären Wéi kritt een e Let's Encrypt SSL/TLS Zertifikat fir Är Domain. Mir wäerten och beschreiwen wéi Dir et op engem Webserver installéiere kënnt (wéi Nginx oder Apache) an automatesch Zertifikat Erneierung opsetzen fir eng kontinuéierlech sécher Verbindung mat Ärer Webressource ze garantéieren.

certbot ass e gratis Open-Source-Tool entwéckelt fir automatesch Acquisitioun an Erneierung vun SSL / TLS Certificaten. Et spillt eng entscheedend Roll fir d'Verbindung tëscht dem Server an dem Client ze sécheren, d'Date vun onerlaabten Zougang ze schützen. Certbot vereinfacht den Installatiouns- an Erneierungsprozess vun engem SSL Zertifika. Net nëmmen verbessert d'Zertifikat d'Sécherheet, awer et stäerkt och d'Vertrauen vum Benotzer an Ärer Webressource, an doduerch souwuel de Ruff vum Site wéi och seng Sichmotorrangementer verbessert.

Certbot installéieren

Certbot ass standardiséiert an de meeschte Verdeelungen abegraff, also fir se z'installéieren Debian / Ubuntu Systemer, musst Dir nëmmen d'Packagelëscht aktualiséieren:

apt update

Fänkt dann den Installatiounsprozess un:

apt install certbot

Certbot ënnerstëtzt Plugins déi d'Setup an d'Konfiguratioun vum Zertifika fir e Webserver erliichteren. Fir dës Plugins z'installéieren, benotzt de entspriechende Kommando:

apt install certbot python3-certbot-nginx # for Nginx
apt install certbot python3-certbot-apache # for Apache

Installatioun Prozess fir Red Droe Systemer (z RHEL, CentOS, Fedora) ass liicht anescht. Am Ufank musst Dir den EPEL Repository addéieren:

yum install epel-release

Installéiert dann den Tool:

yum install certbot

Ähnlech gëtt et eng Optioun fir e Plugin fir e spezifesche Webserver ze wielen:

yum install python3-certbot-nginx # for Nginx
yum install python3-certbot-apache # for Apache

No der Installatioun kënnt Dir direkt weidergoen fir den Zertifika ze kréien.

En SSL Zertifika ze kréien

An dëser Rubrik diskutéiere mir de Prozess fir e Certificat onofhängeg vun engem spezifesche Webserver ze kréien, gefollegt vun der Beschreiwung vum Prozess fir den Zertifikat fir Nginx an Apache z'installéieren. Wéi och ëmmer, et ass wesentlech fir d'éischt d'Syntax a Funktionalitéit vum Programm ze verstoen. Et erschéngt wéi follegt:

certbot command option -d domain

D'Haaptbefehle enthalen:

certbot certonly - Retrives den Zertifikat awer installéiert et net.
certbot certificates - Dëse Kommando weist eng Lëscht vun all installéiert Certificaten.
certbot renew - Verlängert déi bestehend Zertifikat.
certbot revoke - Revokéiert déi bestehend Zertifikat.
certbot delete - Läscht déi bestehend Zertifikat.

Déi meescht benotzt Optiounen sinn:

--nginx - Benotzt Nginx Konfiguratiounsskripter fir Domain Verifizéierung.
--apache - Benotzt Apache Konfiguratiounsskripter fir Domain Verifizéierung.
-d - Eng Lëscht vun Domainen fir déi den Zertifika ugefrot gëtt.
--standalone - Benotzt de Standalone Modus fir Domain Verifizéierung.
--manual - Féiert manuell Domain Verifizéierung.

Dëst ass just e Beispill vun den heefegste Kommandoen an Optiounen. Dir kënnt Iech mat der kompletter Lëscht vu Programmfäegkeeten an der Hëllefssektioun vertraut maachen:

certbot –help

Mir ginn elo weider fir den Zertifika ze kréien. Als Beispill kréie mir e Certificat fir eng virtuellen Server fir e gratis drëtt-Niveau Domän wéi yourusername.pserver.space

Als éischt musst Dir de Kommando aginn:

certbot certonly

Als Äntwert wäert d'Utility Iech froen eng Method ze wielen fir d'Domain Besëtzer z'iwwerpréiwen:

Déi éischt Optioun ass praktesch wann Dir kee konfiguréierte Webserver hutt oder Dir wëllt keng Ännerunge fir en existente maachen. Dës Method erstellt en temporäre Webserver fir Äert Recht op d'Domain ze bestätegen. Et ass ideal fir en einfachen a schnelle Setup. Wann Dir dës Method auswielt, ass et wichteg Port 80 fräi ze halen.

Déi zweet Optioun ass léiwer wann Dir schonn e Webserver funktionnéiert, an Dir wëllt se benotze fir d'Recht op d'Domain z'iwwerpréiwen. Certbot placéiert speziell Dateien an engem Dossier op Ärem Server, déi dann vum Zertifizéierungszenter gepréift ginn.

Mir wielen déi éischt Optioun a klickt nächst. Op dëser Etapp musst Dir:

1. Gitt eng E-Mailadress un;
2. Averstanen op d'Konditioune vum Service;
3. Averstanen oder refuséieren E-Mailen am Numm vun der Firma a senge Partner ze kréien;
4. Gitt den Domain Numm un fir deen den Zertifika ausgestallt gëtt.

Nodeems Dir den Zertifikatausgabeprozess mam Certbot-Tool ofgeschloss hutt, gëtt et de Wee an de Verzeechnes unzeginn, wou de erausginn Zertifikat an d'Donnéeë fir Äre Kont gespäichert sinn:

Alles wat bleift ass fir Iech de kritt Zertifika un den erfuerderlechen Service ze verbannen.

Installéiere vum Zertifika fir Nginx oder Apache

Dës Sektioun gëtt ugeholl datt verschidde fundamental Bedéngungen erfëllt sinn:

1. Dir hutt schonn e Webserver installéiert a konfiguréiert, entweder Nginx oder Apache. Et muss vum Internet iwwer den Domain Numm zougänglech sinn, fir deen Dir wëllt den Zertifika ze kréien;
2. Während der Installatioun vum Tool hutt Dir och e Plugin fir Nginx oder Apache mat dem passenden Kommando installéiert;
3. D'Firewall erlaabt Verbindungen op Häfen 80 an 443. Wann dës Häfen fir Verbindungen zougemaach sinn, gëtt de Service fir Entréeën Verbindungen net disponibel. Fir méi Detailer iwwer Firewall Operatioun, hu mir dëst am Artikel iwwer diskutéiert eng Firewall op Linux opzestellen.

Wann all Konditioune erfëllt sinn, kënnt Dir direkt op d'Zertifikatsausgab virugoen. Mir betruechten de Prozess fir en SSL Zertifikat op engem Server ze kréien deen Nginx als Beispill benotzt. Wéi och ëmmer, wann Dir en Apache Webserver benotzt, ass de Prozess komplett identesch.

Fir den Zertifika ze kréien, musst Dir de Kommando aginn:

certbot --nginx # for Nginx
certbot --apache # for Apache

Als Äntwert wäert d'Tool froen: eng E-Mailadress, Zoustëmmung fir d'Benotzungsbedingunge vum Let's Encrypt Service, an d'Erlaabnis fir E-Mailen am Numm vum Service a senge Partner ze schécken.

Duerno musst Dir den Domain Numm spezifizéieren fir deen den Zertifika ausgestallt gëtt. Certbot kann automatesch d'Domain bestëmmen wann et an der Servernumm Feld fir Nginx Konfiguratioun bzw ServerName an ServerAliasen fir Apache-. Wann et net spezifizéiert ass, wäert de Programm Iech matdeelen a froen Iech den Domain Numm manuell anzeginn. Duerno freet d'Utility ob d'Redirectioun vun Ufroe vum HTTP op HTTPS Protokoll aktivéiert gëtt. Fir automatesch Viruleedung opzestellen, sollt Dir déi zweet Optioun wielen:

No enger Zäit wäert Certbot Iech iwwer déi erfollegräich Acquisitioun vum Zertifika fir de spezifizéierte Domain informéieren. Vun dësem Punkt un ginn all erakommen Verbindunge vum Hafen 80 op 443 ëmgeleet. D'Tool weist d'Verzeichnisser an deenen Dir all d'Zertifikatdaten an d'Let's Encrypt Account Detailer fannt:

De Message wäert och d'Validitéit Period vun der kritt Zertifikat uginn a wichteg Optiounen fir d'Gestioun vun all aktiv Certificaten:

1. bestëmmt. Dës Optioun gëtt benotzt fir den Zertifika ze kréien oder ze aktualiséieren ouni automatesch Webserverkonfiguratioun. Certbot wäert nëmmen den Zertifika ufroen oder aktualiséieren, awer keng automatesch Ännerungen un der Serverkonfiguratioun maachen. Virdrun hu mir dës Optioun benotzt fir en Zertifika ze kréien ouni un engem Webserver gebonnen ze sinn.
2. erneieren gëtt fir d'automatesch Erneierung vun all Certificaten benotzt, déi duerch Certbot kritt goufen a bannent hirer Validitéitsperiod sinn. De Programm iwwerpréift all Certificaten, a wann ee vun hinnen bannent 30 Deeg oder manner ofleeft, gëtt se automatesch erneiert.

Nächst an den Instruktioune wäerte mir diskutéieren wéi d'automatesch Erneierung vun Certificaten ouni Benotzerinterventioun all dräi Méint opgeriicht gëtt.

Automatesch Zertifikat Erneierung am Certbot

Fir Debian/Ubuntu

Wann Dir dës Betribssystemer benotzt, füügt Certbot automatesch e Skript op d'Tasklëscht fir d'automatesch Erneierung vun installéierten Certificaten. Dir kënnt d'Funktionalitéit vum Skript mat dem folgenden Kommando iwwerpréiwen:

systemctl status certbot.timer

D'Äntwert weist de Status vum Service, souwéi de Verzeechnes mat der Konfiguratiounsdatei. Dir kënnt dëst mat engem Texteditor opmaachen. Wann Dir net mat Texteditoren am Linux erlieft hutt, empfeelen mir Iech vertraut ze maachen eisen Iwwerbléck vun de beléifste Léisungen. An dësem Fall wäerte mir Nano benotzen:

nano /lib/systemd/system/certbot.timer

All wichteg Parameteren sinn markéiert:

1. Den Zäitplang weist datt de Service zweemol am Dag um 00:00 an 12:00 leeft;
2. En zweete Wäert weist eng zoufälleg Verspéidung a Sekonnen un, déi dem Start vum Timer bäigefüügt ginn. An dësem Fall ass et 43,200 Sekonnen (12 Stonnen), wat de Start méi zoufälleg mécht an d'Laascht verdeelt;
3. Dëse Parameter garantéiert datt wann den Timer soll wärend engem Systemausschalt ausgefouert ginn, en direkt beim Start aktivéiert gëtt.

Dir kënnt och eng gezwongen Scheck vun der Zertifikat Erneierung mam Kommando ausféieren:

certbot renew --dry-run

Mat dësem Kommando ginn d'Zertifikater net aktualiséiert. Amplaz wäert d'Tool Aktiounen ausféieren ähnlech wéi e Certificat ze kréien no sengem Verfall. Op dës Manéier kënnt Dir d'Funktionalitéit vum Service betreffend automatesch Erneierung garantéieren.

Fir CentOS, Fedora, an anerer

De Prozess fir automatesch Updates op Red Hat Familljesystemer z'erméiglechen ënnerscheet sech liicht. Am Géigesaz zu Debian/Ubuntu, fir CentOS an aner Systemer, musst Dir eng Aufgab manuell an de Scheduler addéieren. Fir dëst wäerte mir de cron Instrument:

crontab -e

Dann, an der Datei déi opmaacht, füügt déi folgend Linn derbäi:

0 12 * * * /usr/bin/certbot renew --quiet

Loosst eis d'Haaptargumenter vum Kommando ofbriechen:

1. D'Ausféierung Zäit. An dësem Fall gëtt de Kommando automatesch all Dag um 12:00 lafen;
2. De Kommando fir SSL / TLS Zertifikater mat Certbot ze erneieren;
3. d' -- roueg Fändel ënnerdréckt d'Output, sou datt de Prozess méi verstoppt a manner opdrénglech am System Logbicher oder Display mécht.

Nodeems Dir de Kommando bäigefüügt hutt, musst Dir d'Ännerungen an der Datei späicheren.

Just wéi mat Debian/Ubuntu, kënnt Dir och eng gezwongen Kontroll vun Zertifikat Erneierung initiéieren:

certbot renew --dry-run

D'Resultat vun enger erfollegräicher Ausféierung vum Kommando gesäit wéi follegt aus:

Conclusioun

Mir hunn de komplette Prozess vun der Installatioun an der Konfiguratioun vun Certbot op engem Linux Server exploréiert. Andeems Dir déi geliwwert Instruktioune befollegt, kënnt Dir erfollegräich en SSL / TLS Zertifika vu Let's Encrypt kréien, et op Ärem Webserver installéieren, an automatesch Erneierung konfiguréieren fir kontinuéierleche Schutz a verstäerkt Vertrauen an Ärer Webressource ze garantéieren. Mat Certbot kënnt Dir einfach en zouverléisseg a séchert Ëmfeld fir d'Benotzer erstellen.