Bruke Lets Encrypt på OpenBSD 6.1

Det er ikke lenger behov for at noen må lage sine egne SSL-sertifikater, for nå kan du få ditt eget gratis, gyldige SSL-sertifikat fra Let's Encrypt . Dette sertifikatet er kun domenevalidert, så det bør ikke brukes til e-handel. Sertifikatet utstedt av Let's Encrypt kan være gyldig for primær- og underdomener som du spesifiserer, men Let's Encrypt støtter ennå ikke jokertegnsertifikater. OpenBSD inkluderer en Let's Encrypt-klient kalt acme-client.

MERK: Husk å erstatte example.orgmed ditt domene .

Konfigurer /etc/acme-client.confkonfigurasjonsfilen.

# cd /etc
# vi acme-client.conf

Legg til følgende i filen. Den domain full chainsertifikatet inneholder La oss Krypter SSL-kjeden, som er nyttig for validering. Her vil vi bruke hele kjeden i stedet for domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Konfigurer og start httpd.conf. Acme-klienten bruker en webserver for å utføre sine utfordringer for å verifisere gyldigheten til domenet. Disse utfordringene må være vellykkede for at et gyldig, signert sertifikat skal kunne utstedes.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Skriv inn acme-client -ADv example.org. du bør nå ha et gyldig SSL-sertifikat. Den vil være gyldig i 90 dager før du må kjøre acme-client igjen for å få sertifikatet utstedt på nytt.

Hvis du får noen feil, sørg for at du har port 80åpen på brannmuren. Du trenger en DNS A-post som går example.orgtil IP-adressen til Vultr-forekomsten.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf