Ús de Lets Encrypt a OpenBSD 6.1

Ja no cal que ningú hagi de crear els seus propis certificats SSL perquè ara podeu obtenir el vostre propi certificat SSL gratuït i vàlid de Let's Encrypt . Aquest certificat només està validat per domini, per la qual cosa no s'ha d'utilitzar per al comerç electrònic. El certificat emès per Let's Encrypt pot ser vàlid per als dominis primaris i secundaris que especifiqueu, però Let's Encrypt encara no admet certificats de comodí. OpenBSD inclou un client Let's Encrypt anomenat acme-client.

NOTA: recordeu substituir-lo example.orgpel vostre domini .

Configureu el /etc/acme-client.conffitxer de configuració.

# cd /etc
# vi acme-client.conf

Afegiu el següent al fitxer. El domain full chaincertificat conté la cadena SSL Let's Encrypt, que és útil per a la validació. Aquí, utilitzarem la cadena completa en lloc de domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Configura i comença httpd.conf. L'acme-client utilitza un servidor web per realitzar els seus reptes per verificar la validesa del domini. Aquests reptes han de tenir èxit per tal d'emetre un certificat vàlid i signat.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Tipus acme-client -ADv example.org. ara hauríeu de tenir un certificat SSL vàlid. Serà vàlid durant 90 dies abans que haureu de tornar a executar acme-client per tornar a emetre el certificat.

Si trobeu algun error, assegureu-vos que teniu port 80obert al vostre tallafoc. Necessitareu un registre DNS A que es resolgui example.orgamb l'adreça IP de la vostra instància Vultr.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf