Certbot: Инсталирање Let's Encrypt Certificate

Во оваа статија, ќе го истражиме процесот на инсталирање и конфигурирање certbot на Линукс сервер. Ќе објасниме подетално како да се добие Let's Encrypt SSL/TLS сертификат за вашиот домен. Исто така, ќе опишеме како да го инсталирате на веб-сервер (како Nginx или Apache) и да поставите автоматско обновување на сертификатот за да обезбедите континуирана сигурна врска со вашиот веб-ресурс.

certbot е бесплатна алатка со отворен код дизајнирана за автоматско стекнување и обновување на SSL/TLS сертификати. Тој игра клучна улога во обезбедувањето на врската помеѓу серверот и клиентот, заштитувајќи ги податоците од неовластен пристап. Certbot го поедноставува процесот на инсталација и обновување на SSL сертификат. Не само што сертификатот ја подобрува безбедноста, туку ја зголемува и довербата на корисниците во вашиот веб-ресурс, а со тоа ја подобрува репутацијата на страницата и рангирањето на пребарувачот.

Инсталирање Certbot

Certbot е стандардно вклучен во повеќето дистрибуции, така да се инсталира Дебиан / Убунту системи, треба само да ја ажурирате листата на пакети:

apt update

Потоа, започнете го процесот на инсталација:

apt install certbot

Certbot поддржува додатоци кои го олеснуваат поставувањето и конфигурацијата на сертификатот за веб-сервер. За да ги инсталирате овие приклучоци, користете ја соодветната команда:

apt install certbot python3-certbot-nginx # for Nginx
apt install certbot python3-certbot-apache # for Apache

Процесот на инсталација за Ред Хет системи (како што се RHEL, CentOS, Fedora) е малку поинаква. Првично, треба да го додадете складиштето EPEL:

yum install epel-release

Потоа инсталирајте ја алатката:

yum install certbot

Слично на тоа, постои опција за избор на приклучок за одреден веб-сервер:

yum install python3-certbot-nginx # for Nginx
yum install python3-certbot-apache # for Apache

По инсталацијата, можете веднаш да продолжите со добивање на сертификатот.

Добивање на SSL сертификат

Во овој дел, ќе разговараме за процесот на добивање сертификат независно од одреден веб-сервер, проследено со опишување на процесот на инсталирање на сертификатот за Nginx и Apache. Сепак, од суштинско значење е прво да се разбере синтаксата и функционалноста на програмата. Се појавува на следниов начин:

certbot command option -d domain

Главните команди вклучуваат:

certbot certonly - Го презема сертификатот, но не го инсталира.
certbot certificates - Оваа команда прикажува листа на сите инсталирани сертификати.
certbot renew - Го продолжува постоечкиот сертификат.
certbot revoke - Го поништува постоечкиот сертификат.
certbot delete - Го брише постоечкиот сертификат.

Најчесто користени опции се:

--nginx - Користи Nginx скрипти за конфигурација за верификација на доменот.
--apache - Користи скрипти за конфигурација на Apache за верификација на доменот.
-d - Список на домени за кои се бара сертификатот.
--standalone - Користи самостоен режим за верификација на доменот.
--manual - Врши рачна проверка на доменот.

Ова е само пример за најчестите команди и опции. Можете да се запознаете со целосната листа на можности на програмата во делот за помош:

certbot –help

Сега продолжуваме со добивање на сертификатот. Како пример, ќе добиеме сертификат за а виртуелен сервер за бесплатен домен од трето ниво како yourusername.pserver.space

Прво, треба да ја внесете командата:

certbot certonly

Како одговор, алатката ќе побара од вас да изберете метод за потврдување на сопственоста на доменот:

Првата опција е погодна ако немате конфигуриран веб-сервер или не сакате да правите промени на постоечки. Овој метод создава привремен веб-сервер за да го потврди вашето право на доменот. Идеален е за едноставно и брзо поставување. При изборот на овој метод, важно е да се задржи портата 80 бесплатна.

Втората опција е пожелна ако веќе имате веб-сервер кој работи и сакате да го користите за да го потврдите правото на доменот. Certbot поставува специјални датотеки во папка на вашиот сервер, кои потоа се проверуваат од центарот за сертификација.

Ја избираме првата опција и кликнуваме следно. Во оваа фаза, ќе треба да:

1. Внесете адреса за е-пошта;
2. Согласете се со условите за користење;
3. Согласете се или одбивате да примате е-пошта во име на компанијата и нејзините партнери;
4. Наведете го името на доменот за кое се издава сертификатот.

По завршувањето на процесот на издавање сертификат со алатката Certbot, ќе ја означи патеката до директориумот каде што се зачувани издадениот сертификат и податоците за вашата сметка:

Останува само да го поврзете добиениот сертификат со бараната услуга.

Инсталирање на сертификатот за Nginx или Apache

Овој дел претпоставува дека се исполнети одредени основни услови:

1. Веќе имате инсталирано и конфигурирано веб-сервер, или Nginx или Apache. Мора да биде достапен од интернет преку името на доменот за кој имате намера да го добиете сертификатот;
2. За време на инсталацијата на алатката, инсталиравте и додаток за Nginx или Apache користејќи ја соодветната команда;
3. Заштитниот ѕид дозволува поврзување на портите 80 и 443. Ако овие порти се затворени за конекции, услугата ќе биде недостапна за дојдовни врски. За повеќе детали за работата на заштитниот ѕид, разговаравме за ова во написот за поставување заштитен ѕид на Linux.

Откако ќе се исполнат сите услови, можете да продолжите директно до издавањето на сертификатот. Ќе го разгледаме процесот на добивање SSL сертификат на сервер користејќи Nginx како пример. Меѓутоа, ако користите веб-сервер на Apache, процесот е целосно идентичен.

За да го добиете сертификатот, треба да ја внесете командата:

certbot --nginx # for Nginx
certbot --apache # for Apache

Како одговор, алатката ќе побара: адреса на е-пошта, согласност за условите за користење на услугата Let's Encrypt и дозвола за испраќање е-пошта во име на услугата и нејзините партнери.

После тоа, ќе треба да го наведете името на доменот за кое се издава сертификатот. Certbot може автоматски да го одреди доменот ако е наведен во име на сервер поле за Nginx конфигурација или Име на сервер СерверАлијас за Apache-то. Ако не е наведено, програмата ќе ве извести и ќе побара од вас рачно да го внесете името на доменот. Потоа, алатката ќе праша дали да овозможи пренасочување на барањата од протоколот HTTP во HTTPS. За да поставите автоматско пренасочување, треба да ја изберете втората опција:

По некое време, Certbot ќе ве информира за успешното стекнување на сертификатот за наведениот домен. Од овој момент, сите дојдовни врски ќе бидат пренасочени од портата 80 на 443. Алатката ќе ги прикаже директориумите во кои можете да ги најдете сите податоци за сертификатот и деталите за сметката Let's Encrypt:

Пораката исто така ќе го специфицира периодот на важност на добиениот сертификат и важни опции за управување со сите активни сертификати:

1. сигурно. Оваа опција се користи за добивање или ажурирање на сертификатот без автоматска конфигурација на веб-серверот. Certbot само ќе бара или ажурира сертификат, но нема да прави никакви автоматски промени на конфигурацијата на серверот. Претходно, ја користевме оваа опција за да добиеме сертификат без да бидеме врзани за веб-сервер.
2. обнови се користи за автоматско обновување на сите сертификати кои се добиени преку Certbot и се во рок на важност. Програмата ќе ги провери сите сертификати и ако некој од нив истече во рок од 30 дена или помалку, автоматски ќе се обнови.

Следно во упатствата, ќе разговараме за тоа како да поставите автоматско обновување на сертификатите без интервенција на корисникот на секои три месеци.

Автоматско обновување на сертификатот во Certbot

За Debian/Ubuntu

Кога ги користите овие оперативни системи, Certbot автоматски додава скрипта во списокот со задачи за автоматско обновување на инсталираните сертификати. Можете да ја проверите функционалноста на скриптата со следнава команда:

systemctl status certbot.timer

Одговорот ќе го прикаже статусот на услугата, како и директориумот што ја содржи конфигурациската датотека. Можете да го отворите ова користејќи кој било уредувач на текст. Ако не сте искусни со уредувачи на текст во Linux, препорачуваме да се запознаете со нашиот преглед од најпопуларните решенија. Во овој случај, ќе користиме нано:

nano /lib/systemd/system/certbot.timer

Сите важни параметри се истакнати:

1. Распоредот укажува дека услугата ќе работи два пати на ден во 00:00 и 12:00 часот;
2. Втората вредност означува случајно доцнење во секунди што ќе се додаде на почетокот на тајмерот. Во овој случај, тоа е 43,200 секунди (12 часа), што го прави лансирањето послучајно и го шири товарот;
3. Овој параметар гарантира дека ако тајмерот требаше да се изврши при исклучување на системот, тој ќе се активира веднаш по стартувањето.

Можете исто така да извршите присилна проверка на обновување на сертификатот со командата:

certbot renew --dry-run

Со користење на оваа команда, сертификатите нема да се ажурираат. Наместо тоа, алатката ќе изврши дејства слични на добивање сертификат по неговото истекување. На овој начин, можете да ја осигурате функционалноста на услугата во однос на автоматското обновување.

За CentOS, Fedora и други

Процесот на овозможување автоматско ажурирање на системите на семејството Red Hat малку се разликува. За разлика од Debian/Ubuntu, за CentOS и други системи, треба рачно да додадете задача во распоредувачот. За ова ќе го искористиме cron алатка:

crontab -e

Потоа, во датотеката што се отвора, додадете ја следната линија:

0 12 * * * /usr/bin/certbot renew --quiet

Ајде да ги разложиме главните аргументи на командата:

1. Времето на извршување. Во овој случај, командата автоматски ќе работи во 12:00 секој ден;
2. Командата за обновување на SSL/TLS сертификатите со помош на Certbot;
3. на -- тивко знамето го потиснува излезот, правејќи го процесот поскриен и помалку наметлив во системските дневници или приказ.

Откако ќе ја додадете командата, треба да ги зачувате промените во датотеката.

Исто како и со Debian/Ubuntu, можете исто така да започнете принудна проверка на обновувањето на сертификатот:

certbot renew --dry-run

Резултатот од успешното извршување на командата изгледа вака:

Заклучок

Го истраживме сеопфатниот процес на инсталирање и конфигурирање на Certbot на сервер на Linux. Следејќи ги дадените упатства, можете успешно да добиете SSL/TLS сертификат од Let's Encrypt, да го инсталирате на вашиот веб-сервер и да го конфигурирате автоматското обновување за да обезбедите континуирана заштита и зголемена доверба во вашиот веб-ресурс. Со Certbot, можете лесно да создадете сигурна и безбедна средина за корисниците.