Използване на Lets Encrypt на OpenBSD 6.1

Вече няма нужда някой да трябва да създава свои собствени SSL сертификати, защото сега можете да получите свой собствен безплатен валиден SSL сертификат от Let's Encrypt . Този сертификат е валидиран само за домейн, така че не трябва да се използва за електронна търговия. Сертификатът, издаден от Let's Encrypt, може да е валиден за първични и поддомейни, които сте посочили, но Let's Encrypt все още не поддържа сертификати за заместващи символи. OpenBSD включва клиент Let's Encrypt, наречен acme-client.

ЗАБЕЛЕЖКА: Моля, не забравяйте да замените example.orgс вашия домейн .

Конфигурирайте /etc/acme-client.confконфигурационния файл.

# cd /etc
# vi acme-client.conf

Добавете следното към файла. В domain full chainудостоверението съдържа Encrypt SSL верига! Да, което е полезно за валидиране. Тук ще използваме пълната верига вместо domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Конфигурирайте и стартирайте httpd.conf. acme-клиентът използва уеб сървър, за да изпълнява своите предизвикателства, за да провери валидността на домейна. Тези предизвикателства трябва да бъдат успешни, за да бъде издаден валиден, подписан сертификат.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Тип acme-client -ADv example.org. сега трябва да имате валиден SSL сертификат. Той ще бъде валиден за 90 дни, преди ще трябва да стартирате acme-client отново, за да получите сертификата отново.

Ако получите някакви грешки, уверете се, че сте port 80отворили защитната стена. Ще ви е необходим DNS A запис, който се разрешава example.orgдо IP адреса на вашия екземпляр Vultr.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf