Авто обновление SSL сертификата Let’s Encrypt

Создание доверенного ssl сертификата.

Для своего сайта было принято решение использовать ssl шифрование, но самоподписной сертификат оказался совсем не удобным решением, потому как по несколько раз кликать по сообщениям браузера об опастности данной ссылки ну совсем не прикольно. К счастью есть сервис Let’s Encrypt у которого можно получить доверенный ssl сертификат. Правда как у всякой халявы есть свои недостатки :

Срок действия бесплатного SSL-сертификата – до 90 дней.

Бесплатные сертификаты от Let's Encrypt являются сертификатами с проверкой домена (англ. domain validation). То есть, если вам нужно защитить домен и его субдомены, то нужно будет выпускать несколько сертификатов.

Также нельзя получить бесплатные сертификаты с проверкой организации (англ. Organization validation), сертификаты с зеленой строкой (англ. Extended validation), мультидоменные сертификаты (Multi-domain SSL).

Если у вас IDN домен, например, мойдомен.com, то бесплатный SSL от Let's Encrypt уже не подойдет.

Но что поделать, согласимся с этим фактом и начнем устанавливать данный сертификат на наш сервер.

Есть два способа сделать это в автоматическом режиме, чтобы не заказывать ручками сертификат раз в 3 месяца.

1. Установка клиента certbot для  автоматической генерации сертификатов.

Заходим на сайт https://certbot.eff.org/ и выбираем в списке ваш web-сервер и операционную систему. Там будет подробное описание как устанавливать клиент. Для Ubuntu 14.04 это выглядит так:

Дальше читаем что пишет нам скрипт, до самого конца установки.

Если нужно добавить еще доменное имя в настроенный letsencrypt, то пишем команду:

2. Установка и обновление сертификата с помощью скрипта getssl который написан на bash.

Этот метод более понятен и вызывает меньше переживаний, так как в отличие от certbot тут понятен каждый шаг скрипта.

Для начала нам надо создать Alias в Apache.

Этот алиас будет отображать папку /var/www/getssl/.well-known/acme-challenge  по ссылке https://yousite.net/.well-known/acme-challenge/

У нас запрещен просмотр содержимого директорий, поэтому создадим файл .htaccess

с содержимым:

теперь создадим там любой файл и зайдем по ссылке https://yousite.net/.well-known/acme-challenge/ , теперь мы должны его там увидеть.

Поместить скрипт в /bin, чтобы не указывать полный путь при запуске:

Если установка прошла успешно команда getssl сообщит свою версию:

Доменная модель GetSSL оперирует двумя видами сущностей:

Аккаунт - глобальный набор правил распространяемых на сервер;

Домен - набор правил для конкретного доменного имени.

Добавим новый домен:

Настройка аккаунта.

Let's Encrypt ограничивает лимит запросов к своим серверам. Для отладочных целей лучше использовать stagging сервер:

Глобально принять соглашение предоставления услуг и указать свой email:

Настройка домена.

При получении сертификата Let's Encrypt проверяет права владения доменом(ами). Флаг ACL (ACME Challenge Location) указывает на директорию в которую будет сохранено выполненное задание (challenge):

Установите флаг USE_SINGLE_ACL для использование одной директории при подтверждении прав на домены.

Флаги DOMAIN_CERT_LOCATION, DOMAIN_KEY_LOCATION, CA_CERT_LOCATION используются для копирования цепочки сертификатов и закрытого ключа в директорию к которой веб сервер имеет доступ.

Получение демо сертификата.

Если GetSSL сообщил о успешном получении сертификата (Verification completed, obtaining certificate.), измените CA в конфигурационном файле аккаунта /root/.getssl/getssl.cfg сервер сертификации:

Затем повторите запрос ещё раз:

Настроим apache, поправим данные строки:

Теперь автоматизируем замену сертификатов.