Certbot: Mametraka mari-pankasitrahana Let's Encrypt

Ato amin'ity lahatsoratra ity, dia hojerentsika ny dingana fametrahana sy fanamboarana ny Certbot amin'ny mpizara Linux. Hazavainay amin'ny antsipiriany ny fomba hahazoana mari-pankasitrahana Let's Encrypt SSL/TLS ho an'ny sehatra misy anao. Hazavainay ihany koa ny fomba fametrahana azy amin'ny mpizara tranonkala (toy ny Nginx na Apache) ary ny fametrahana fanavaozana mari-pankasitrahana mandeha ho azy mba hahazoana antoka fa misy fifandraisana azo antoka tsy tapaka amin'ny loharanon-tranonkalanao.

Fitaovana maimaim-poana sy misokatra ho an'ny tranonkala ny Certbot , natao ho an'ny fahazoana sy fanavaozana mandeha ho azy ny mari-pankasitrahana SSL/TLS . Mitana anjara toerana lehibe amin'ny fiarovana ny fifandraisana misy eo amin'ny mpizara sy ny mpanjifa izy io, miaro ny angona amin'ny fidirana tsy nahazoana alalana. Manamora ny fametrahana sy fanavaozana ny mari-pankasitrahana SSL ny Certbot. Tsy vitan'ny hoe manatsara ny fiarovana ny mari-pankasitrahana, fa mampitombo ihany koa ny fahatokisan'ny mpampiasa ny loharanon-tranonkalanao, ka manatsara ny lazan'ny tranonkala sy ny laharan'ny motera fikarohana.

Fametrahana Certbot

Tafiditra ao amin'ny ankamaroan'ny fizarana ny Certbot amin'ny alàlan'ny default, ka mba hametrahana azy amin'ny rafitra Debian/Ubuntu dia mila manavao ny lisitry ny fonosana fotsiny ianao:

apt update

Avy eo, manomboka ny dingana fametrahana:

apt install certbot

Certbot dia manohana plugins izay manamora ny fametrahana sy ny fanamafisana ny taratasy fanamarinana ho an'ny mpizara tranonkala. Mba hametrahana ireto plugins ireto dia ampiasao ny baiko mifanaraka amin'izany:

apt install certbot python3-certbot-nginx # for Nginx
apt install certbot python3-certbot-apache # for Apache

Somary hafa kely ny fomba fametrahana ireo rafitra Red Hat (toy ny RHEL , CentOS , Fedora ). Voalohany, mila manampy ny tahiry EPEL ianao:

yum install epel-release

Avy eo apetraho ny fitaovana:

yum install certbot

Toy izany koa, misy safidy hisafidianana plugin ho an'ny mpizara tranonkala manokana:

yum install python3-certbot-nginx # for Nginx
yum install python3-certbot-apache # for Apache

Aorian'ny fametrahana dia azonao atao avy hatrany ny mahazo ny taratasy fanamarinana.

Mahazoa SSL Certificate

Amin'ity fizarana ity dia hiresaka momba ny fizotran'ny fahazoana mari-pankasitrahana tsy miankina amin'ny mpizara tranonkala iray manokana isika, arahin'ny famaritana ny dingana fametrahana ny taratasy fanamarinana ho an'ny Nginx sy Apache. Na izany aza, ilaina aloha ny mahatakatra ny syntax sy ny fiasan'ny programa. Toy izao no miseho:

certbot command option -d domain

Ny baiko lehibe dia ahitana:

certbot certonly - Maka ny certificat fa tsy mametraka azy.
certbot certificates - Ity baiko ity dia mampiseho lisitry ny mari-pankasitrahana napetraka rehetra.
certbot renew - Manitatra ny taratasy fanamarinana efa misy.
certbot revoke - Manafoana ny taratasy fanamarinana efa misy.
certbot delete - Mamafa ny taratasy fanamarinana efa misy.

Ny safidy ampiasaina matetika dia:

--nginx - Mampiasa script config Nginx ho an'ny fanamarinana sehatra.
--apache - Mampiasa sora-baventy Apache ho an'ny fanamarinana sehatra.
-d - Lisitry ny sehatra izay angatahana ny taratasy fanamarinana.
--standalone - Mampiasa fomba tokana ho an'ny fanamarinana sehatra.
--manual - Manao fanamarinana domaine manual.

Ity dia ohatra iray amin'ireo baiko sy safidy matetika indrindra. Azonao atao ny mahafantatra ny lisitry ny fahaiza-manaon'ny programa ao amin'ny fizarana fanampiana:

certbot –help

Hanohy ny fahazoana ny mari-pankasitrahana isika izao. Ohatra, hahazo mari-pankasitrahana ho an'ny mpizara virtoaly amin'ny sehatra ambaratonga fahatelo maimaim-poana toy ny yourusername.pserver.space isika.

Voalohany, mila miditra ny baiko ianao:

certbot certonly

Ho setrin'izany dia hangataka anao hisafidy fomba hanamarinana ny fananana sehatra ny fitaovana:

Ny safidy voalohany dia mety raha tsy manana mpizara tranonkala voarindra ianao na tsy te hanova ny efa misy. Ity fomba ity dia mamorona mpizara tranonkala vonjimaika hanamafisana ny zonao amin'ny sehatra. Tena mety amin'ny fanamboarana tsotra sy haingana. Rehefa misafidy ity fomba ity dia zava-dehibe ny mitazona ny port 80 maimaim-poana.

Ny safidy faharoa dia aleo raha efa manana mpizara tranonkala miasa ianao, ary te hampiasa izany ianao hanamarina ny zo amin'ny sehatra. Ny Certbot dia mametraka rakitra manokana ao anaty lahatahiry iray ao amin'ny lohamilinao, izay hojeren'ny foibe fanamarinana avy eo.

Mifidy ny safidy voalohany isika ary tsindrio manaraka. Amin'ity dingana ity dia mila:

1. Ampidiro adiresy mailaka;
2. Manaiky ny fepetran'ny serivisy;
3. Manaiky na mandà tsy handray mailaka amin'ny anaran'ny orinasa sy ny mpiara-miombon'antoka aminy;
4. Lazao ny anaran'ny sehatra misy ny taratasy fanamarinana.

Rehefa vita ny fizotran'ny famoahana taratasy fanamarinana miaraka amin'ny fitaovana Certbot, dia hanondro ny lalana mankany amin'ny lahatahiry misy ny taratasy fanamarinana navoaka sy ny angon-drakitra momba ny kaontinao:

Ny hany sisa tavela dia ny mampifandray ny taratasy fanamarinana azo amin'ny serivisy ilaina.

Fametrahana ny taratasy fanamarinana ho an'ny Nginx na Apache

Ity fizarana ity dia mihevitra fa efa voahaja ny fepetra fototra sasany:

1. Efa nametraka sy nanamboatra mpizara tranonkala ianao, na Nginx na Apache. Tsy maintsy azo idirana amin'ny Internet amin'ny alàlan'ny anaran'ny sehatra izay kasainao hahazoana ny taratasy fanamarinana;
2. Nandritra ny fametrahana ilay fitaovana dia nametraka plugin ho an'ny Nginx na Apache ihany koa ianao amin'ny fampiasana ny baiko mety;
3. Ny firewall dia mamela fifandraisana amin'ny seranana 80 sy 443. Raha mihidy amin'ny fifandraisana ireo seranana ireo dia tsy ho afaka amin'ny fifandraisana miditra ny serivisy. Ho an'ny antsipiriany bebe kokoa momba ny fiasan'ny firewall dia niresaka momba izany izahay tao amin'ny lahatsoratra momba ny mametraka firewall amin'ny Linux.

Rehefa feno ny fepetra rehetra dia afaka miroso mivantana amin'ny famoahana taratasy fanamarinana ianao. Hodinihintsika ny fizotran'ny fahazoana mari-pankasitrahana SSL amin'ny mpizara mampiasa Nginx ho ohatra. Na izany aza, raha mampiasa mpizara tranonkala Apache ianao dia mitovy tanteraka ny dingana.

Mba hahazoana ny taratasy fanamarinana dia mila miditra ny baiko ianao:

certbot --nginx # for Nginx
certbot --apache # for Apache

Ho setrin'izany, ny fitaovana dia hangataka: adiresy mailaka, fanekena ny fepetra fampiasana ny serivisy Let's Encrypt, ary alalana handefa mailaka amin'ny anaran'ny serivisy sy ny mpiara-miasa aminy.

Aorian'izay, mila mamaritra ny anaran-tsehatra izay namoahana ny mari-pankasitrahana ianao. Afaka mamaritra ho azy ny anaran-tsehatra ny Certbot raha voafaritra ao amin'ny saha server_name ho an'ny fikirakirana Nginx na ServerName sy ServerAlias ​​ho an'ny Apache izany. Raha tsy voafaritra izany, dia hampandre anao ny programa ary hangataka anao hampiditra ny anaran-tsehatra amin'ny tanana. Avy eo, hanontany ny fitaovana raha azo atao ny mamindra ny fangatahana avy amin'ny protocole HTTP mankany amin'ny HTTPS. Mba hametrahana ny famindrana mandeha ho azy, dia tokony hisafidy ny safidy faharoa ianao:

Rehefa afaka kelikely, dia hampandre anao ny Certbot ny fahazoana fahombiazana amin'ny fanamarinana ho an'ny sehatra voatondro. Manomboka amin'izao fotoana izao, ny fifandraisana miditra rehetra dia hafindra avy amin'ny seranana 80 mankany 443. Ny fitaovana dia hampiseho ny lahatahiry izay ahitanao ny angon-drakitra fanamarinana rehetra sy ny antsipirian'ny kaonty Let's Encrypt:

Ny hafatra ihany koa dia mamaritra ny fe-potoana manan-kery ny taratasy fanamarinana azo sy ny safidy manan-danja amin'ny fitantanana ny mari-pankasitrahana mavitrika rehetra:

1. certonly. Ity safidy ity dia ampiasaina amin'ny fahazoana na fanavaozana ny mari-pankasitrahana tsy misy ny fandrindrana mpizara tranonkala mandeha ho azy. Ny Certbot dia hangataka na hanavao ny mari-pankasitrahana fotsiny fa tsy hanao fanovana mandeha ho azy amin'ny fanamafisam-peo. Teo aloha dia nampiasa ity safidy ity izahay mba hahazoana taratasy fanamarinana nefa tsy mifamatotra amin'ny mpizara tranonkala.
2. manavao dia ampiasaina amin'ny fanavaozana mandeha ho azy ny fanamarinana rehetra azo tamin'ny Certbot ary ao anatin'ny fe-potoana manankery. Ny programa dia hanamarina ny mari-pankasitrahana rehetra, ary raha misy amin'izy ireo lany ao anatin'ny 30 andro na latsaka, dia havaozina ho azy izany.

Manaraka ao amin'ny torolàlana, hiresaka momba ny fomba fametrahana ny fanavaozana mandeha ho azy ny fanamarinana tsy misy fitsabahan'ny mpampiasa isaky ny telo volana.

Fanavaozana fanamarinana mandeha ho azy ao amin'ny Certbot

Ho an'ny Debian/Ubuntu

Rehefa mampiasa ireo rafitra miasa ireo, Certbot dia manampy script ho azy amin'ny lisitry ny asa ho an'ny fanavaozana mandeha ho azy ny fanamarinana napetraka. Azonao atao ny manamarina ny fiasan'ny script miaraka amin'ity baiko manaraka ity:

systemctl status certbot.timer

Ny valiny dia hampiseho ny satan'ny serivisy, ary koa ny lahatahiry misy ny rakitra fikirakirana. Azonao sokafana amin'ny alàlan'ny tonian-dahatsoratra rehetra izany. Raha tsy zatra amin'ny tonian-dahatsoratra ao amin'ny Linux ianao dia manoro hevitra anao izahay mba hahafantaranao tsara ny topimaso momba ireo vahaolana malaza indrindra. Amin'ity tranga ity, dia hampiasa nano isika:

nano /lib/systemd/system/certbot.timer

Ny paramètre manan-danja rehetra dia asongadina:

1. Ny fandaharam-potoana dia manondro fa ny serivisy dia mandeha indroa isan'andro amin'ny 00:00 sy 12:00;
2. Ny sanda faharoa dia manondro fahatarana kisendrasendra ao anatin'ny segondra izay hanampy amin'ny fanombohan'ny fameram-potoana. Amin'ity tranga ity, dia 43,200 segondra (12 ora), izay mahatonga ny fanombohana ho kisendrasendra kokoa ary mampiely ny entana;
3. Ity mari-pamantarana ity dia miantoka fa raha tokony hotanterahina mandritra ny fanakatonana ny rafitra ny fameram-potoana, dia havitrika avy hatrany izany rehefa manomboka.

Azonao atao ihany koa ny manao fanamarinana an-tery momba ny fanavaozana ny certificat miaraka amin'ny baiko:

certbot renew --dry-run

Amin'ny fampiasana an'io baiko io dia tsy havaozina ny fanamarinana. Ny fitaovana kosa dia hanao hetsika mitovy amin'ny fahazoana taratasy fanamarinana rehefa lany daty. Amin'izany fomba izany, azonao atao ny miantoka ny fiasan'ny serivisy momba ny fanavaozana mandeha ho azy.

Ho an'ny CentOS, Fedora, sy ny hafa

Hafa kely ny fomba fampandehanana ny fanavaozana mandeha ho azy amin'ny rafitra Red Hat. Tsy tahaka ny Debian/Ubuntu, ho an'ny CentOS sy rafitra hafa, mila manampy asa tanana ao amin'ny fandaharam-potoana ianao. Ho an'izany, hampiasa ny fitaovana cron isika:

crontab -e

Avy eo, ao amin'ny rakitra misokatra, ampio ity andalana manaraka ity:

0 12 * * * /usr/bin/certbot renew --quiet

Andeha hojerentsika ny hevitra fototra amin'ny baiko:

1. Ny fotoana famonoana. Amin'ity tranga ity, ny baiko dia mandeha ho azy amin'ny 12:00 isan'andro;
2. Ny baiko hanavao ny mari-pankasitrahana SSL/TLS mampiasa Certbot;
3. The -- mangina ny saina dia manafoana ny fivoahana, ka mahatonga ny dingana ho miafina kokoa sy tsy dia manelingelina loatra amin'ny diarin'ny rafitra na ny fampisehoana.

Aorian'ny fampidirana ny baiko dia mila mitahiry ireo fanovana ao amin'ny rakitra ianao.

Tahaka ny amin'ny Debian/Ubuntu, azonao atao ihany koa ny manomboka fanamarinana an-tery ny fanavaozana ny taratasy fanamarinana:

certbot renew --dry-run

Ny vokatry ny fanatanterahana ny baiko mahomby dia toy izao manaraka izao:

Famaranana

Nodinihinay ny dingana feno amin'ny fametrahana sy fanamboarana ny Certbot amin'ny mpizara Linux. Amin'ny fanarahana ny toromarika nomena dia afaka mahazo mari-pankasitrahana SSL/TLS avy amin'ny Let's Encrypt ianao, mametraka izany amin'ny mpizara tranonkalanao, ary manamboatra fanavaozana mandeha ho azy mba hiantohana ny fiarovana tsy tapaka sy hampitombo ny fahatokisana amin'ny loharanon-tranonkalanao. Miaraka amin'ny Certbot, afaka mamorona tontolo azo antoka sy azo antoka ho an'ny mpampiasa ianao.