Konfigurimi Lejon Enkriptimin me Nginx në Ubuntu 16.04

Let's Encrypt është një Autoritet Certifikatash (CA) që ofron certifikata SSL falas me një klient të automatizuar. Duke përdorur një certifikatë Let's Encrypt SSL, ju mund të kriptoni trafikun midis faqes suaj të internetit dhe vizitorëve tuaj. I gjithë procesi është i thjeshtë dhe rinovimet mund të automatizohen. Gjithashtu, vini re se instalimi ose rinovimi i certifikatave nuk shkakton asnjë ndërprerje.

Në këtë tutorial, ne do të përdorim Certbot për të marrë, instaluar dhe rinovuar automatikisht certifikatën tuaj SSL. Certbot po zhvillohet në mënyrë aktive nga Electronic Frontier Foundation (EFF) dhe është klienti i rekomanduar për Let's Encrypt.

Parakushtet

• Një shembull Vultr që ekzekuton Ubuntu 16.04
• Një emër domaini i regjistruar që tregon serverin tuaj
• Nginx

Instaloni Certbot

Për të marrë një certifikatë Let's Encrypt SSL, duhet të instaloni klientin Certbot në serverin tuaj.

Shtoni depon. Shtypni ENTERtastin kur ju kërkohet të pranoni.

add-apt-repository ppa:certbot/certbot

Përditësoni listën e paketave.

apt-get update

Vazhdoni duke instaluar Certbot dhe paketën Nginx të Certbot.

apt-get -y install python-certbot-nginx

Konfigurimi i Nginx

Certbot konfiguron automatikisht SSL për Nginx, por për ta bërë këtë duhet të gjejë bllokun e serverit në skedarin tuaj të konfigurimit Nginx. Ai e bën këtë duke përputhur server_namedirektivën në skedarin e konfigurimit me emrin e domenit për të cilin po kërkoni një certifikatë.

Nëse jeni duke përdorur skedarin e konfigurimit të paracaktuar, /etc/nginx/sites-available/defaulthapeni atë me një redaktues teksti si p.sh. nanodhe gjeni server_namedirektivën. Zëvendësoni nënvizimin, _, me emrat tuaj të domenit:

nano /etc/nginx/sites-available/default

Pas redaktimit të skedarit të konfigurimit, server_namedirektiva duhet të duket si më poshtë. Në këtë shembull, supozoj se domeni juaj është shembull.com dhe se po kërkoni një certifikatë për shembull.com dhe www.example.com.

server_name example.com www.example.com;

Vazhdoni duke verifikuar sintaksën e modifikimeve tuaja.

nginx -t

Nëse sintaksa është e saktë, rinisni Nginx për të përdorur konfigurimin e ri. Nëse merrni ndonjë mesazh gabimi, rihapni skedarin e konfigurimit dhe kontrolloni për ndonjë gabim shtypi, pastaj provoni përsëri.

systemctl restart nginx

Marrja e një certifikate Let's Encrypt SSL

Komanda e mëposhtme do të marrë një certifikatë për ju. Ndryshoni konfigurimin tuaj Nginx për ta përdorur atë dhe ringarkoni Nginx.

certbot --nginx -d example.com -d www.example.com

Ju gjithashtu mund të kërkoni një certifikatë SSL për domene shtesë. Thjesht shtoni -dopsionin " " sa herë të doni.

certbot --nginx -d example.com -d www.example.com -d example.net -d example.net

Në rast se dëshironi të merrni vetëm certifikatën nga Let's Encrypt pa e instaluar atë automatikisht, mund të përdorni komandën e mëposhtme. Kjo bën ndryshime të përkohshme në konfigurimin tuaj Nginx për të marrë certifikatën dhe i kthen ato pasi të jetë shkarkuar certifikata.

certbot --nginx certonly -d example.com -d www.example.com

Nëse po ekzekutoni Certbot për herë të parë, do t'ju kërkohet të vendosni një adresë emaili dhe të pranoni kushtet e shërbimit. Kjo adresë e-mail do të përdoret për rinovimin dhe njoftimet e sigurisë. Pasi të keni dhënë një adresë emaili, Certbot do të kërkojë një certifikatë nga Let's Encrypt dhe do të kryejë një sfidë për të verifikuar që ju kontrolloni domenin në fjalë.

Nëse Certbot mund të marrë një certifikatë SSL, do të pyesë se si dëshironi të konfiguroni HTTPScilësimet tuaja . Ju ose mund t'i ridrejtoni vizitorët që vizitojnë faqen tuaj të internetit përmes një lidhjeje të pasigurt ose t'i lejoni ata ta përdorin atë përmes lidhjes së pasigurt. Kjo zakonisht duhet të aktivizohet sepse siguron që vizitorët të kenë akses vetëm në versionin e mbrojtur me SSL të faqes suaj të internetit. Zgjidhni zgjedhjen tuaj dhe më pas goditni ENTER.

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

Më në fund, Certbot do të konfirmojë që procesi ishte i suksesshëm dhe se ku janë ruajtur certifikatat tuaja. Certifikatat tuaja tani janë shkarkuar dhe instaluar.

Rinovimi automatik

Për shkak se Let's Encrypt është një autoritet certifikimi falas dhe për të inkurajuar përdoruesit të automatizojnë procesin e rinovimit, certifikatat janë të vlefshme vetëm për 90 ditë. Certbot do të kujdeset për rinovimin automatik të certifikatave. E bën këtë duke vrapuar certbot renewdy herë në ditë nëpërmjet systemd.

Mund të kontrolloni që rinovimi automatik po funksionon duke ekzekutuar këtë komandë.

certbot renew --dry-run

Ju gjithashtu mund të rinovoni manualisht certifikatën tuaj në çdo kohë duke ekzekutuar komandën e mëposhtme.

certbot renew

Konfigurimi i përmirësuar

Komandat e mësipërme marrin dhe instalojnë certifikatën SSL me një konfigurim që është i përshtatshëm për shumicën e rasteve. Nëse dëshironi të zbatoni masa të avancuara sigurie për faqen tuaj të internetit, mund të përdorni komandën e mëposhtme për të marrë certifikatën.

certbot --nginx --rsa-key-size 4096 --must-staple -d example.com -d www.example.com

--rsa-key-size 4096Përdor një 4096-bit RSA kyç në vend të 2048 bit kyç, i cili është më i sigurt. Ana negative e kësaj është se një çelës më i madh rezulton në një performancë të vogël të shpenzimeve. Për më tepër, shfletuesit dhe pajisjet e vjetra mund të mos mbështesin çelësat RSA 4096-bit.

--must-stapleShton element kryesor zgjerimin OCSP duhet të certifikatës dhe konfiguron nginx për OCSP stapling. Kjo shtesë i lejon shfletuesit të verifikojnë që certifikata juaj nuk është anuluar dhe se mund t'i besohet. Megjithatë, jo të gjithë shfletuesit e mbështesin këtë veçori.