Jak nainstalovat Lets Encrypt SSL na CentOS 7 se spuštěným webovým serverem Apache

Úvod

V tomto tutoriálu se naučíte postup instalace certifikátu TLS/SSL na webový server Apache. Po dokončení bude veškerý provoz mezi serverem a klientem zašifrován. Jedná se o standardní postup ochrany stránek elektronického obchodování a dalších finančních služeb online. Let's Encrypt je průkopníkem v implementaci bezplatného SSL a bude v tomto případě použit jako poskytovatel certifikátu.

Předpoklady

Než začnete s tímto průvodcem, budete potřebovat následující:

• SSH root přístup k CentOS 7 VPS
• Webový server Apache se správně nakonfigurovanou doménou a vhostem
• Uživatel sudo bez oprávnění root

Instalace závislých modulů

Chcete-li nainstalovat certbot, budete muset nainstalovat úložiště EPEL, protože není ve výchozím nastavení k dispozici, mod_sslje také vyžadováno pro rozpoznání šifrování Apache:

sudo yum install -y epel-release mod_ssl

Stažení klienta Let's Encrypt

Dále nainstalujete klienta certbot z úložiště EPEL:

sudo yum install python-certbot-apache

Získejte a nakonfigurujte certifikát SSL

Certbot si se správou SSL certifikátů poradí celkem snadno. Jako parametr vygeneruje nový certifikát pro poskytnutou doménu.

V tomto případě example.combude použito jako doména, na kterou bude certifikát vydán:

sudo certbot --apache -d example.com

Pokud chcete vygenerovat SSL pro více domén nebo subdomén, použijte následující příkaz:

sudo certbot --apache -d example.com -d www.example.com

Poznámka: První doménou by měla být vaše základní doména, v tomto příkladu: example.com.

Při instalaci certifikátu obdržíte podrobného průvodce, který vám umožní upravit podrobnosti certifikátu. Budete si moci vybrat mezi vynucením HTTPSnebo ponecháním HTTPjako výchozí protokol. Z bezpečnostních důvodů bude také vyžadováno zadání e-mailové adresy.

Po dokončení instalace obdržíte podobnou zprávu:

IMPORTANT NOTES:
- If you lose your account credentials, you can recover through
emails sent to user@example.com.
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/example.com/fullchain.pem. Your cert
will expire on 2019-04-21. To obtain a new version of the
certificate in the future, simply run Let's Encrypt again.
- Your account credentials have been saved in your Let's Encrypt
configuration directory at / etc / letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also have certificates and private keys obtained by Let's
Encrypt so regular backups of this folder is ideal.
- If you like Let's Encrypt, please consider supporting our work by:

Konfigurace automatické obnovy certifikátu

Certifikáty Let's encrypt mají platnost 90 dní. Doporučuje se jej obnovit do 60 dnů, aby se předešlo případným problémům. Abychom toho dosáhli, certbot nám pomůže s vaším příkazem k obnovení. Ověří, že platnost certifikátu je kratší než 30 dní:

sudo certbot renew

Pokud je nainstalovaný certifikát aktuální, certbot ověří pouze datum vypršení platnosti:

Processing  /etc/letsencrypt/renewal/example.com.conf
The following certs are not due for renewal yet:
    /etc/letsencrypt/live/example.com/fullchain.pem (skipped)
No renewals were attempted.

Chcete-li tento proces obnovení automatizovat, můžete nastavit cronjob. Nejprve otevřete crontab:

sudo crontab -e

Tuto práci lze bezpečně naplánovat na každé pondělí o půlnoci:

0 0 * * 1 / usr / bin / certbot renew >> /var/log/sslrenew.log

Výstup skriptu bude přesměrován do /var/log/sslrenew.logsouboru.

Závěr

Právě jste zabezpečili svůj webový server Apache implementací bezplatného certifikátu SSL. Od této chvíle je veškerý provoz mezi serverem a klientem šifrován.