Använda Lets Encrypt på OpenBSD 6.1

Det finns inte längre ett behov för någon att behöva skapa sina egna SSL-certifikat för nu kan du få ditt eget gratis, giltiga SSL-certifikat från Let's Encrypt . Detta certifikat är endast domänvaliderat så det bör inte användas för e-handel. Certifikatet som utfärdas av Let's Encrypt kan vara giltigt för primära och underdomäner som du anger, men Let's Encrypt stöder ännu inte jokerteckencertifikat. OpenBSD inkluderar en Let's Encrypt-klient som heter acme-client.

OBS: Kom ihåg att ersätta example.orgmed din domän .

Konfigurera /etc/acme-client.confkonfigurationsfilen.

# cd /etc
# vi acme-client.conf

Lägg till följande i filen. I domain full chaincertifikatet innehåller Låt oss Kryptera SSL kedja, vilket är användbart för validering. Här kommer vi att använda hela kedjan i stället för domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Konfigurera och starta httpd.conf. Acme-klienten använder en webbserver för att utföra sina utmaningar för att verifiera domänens giltighet. Dessa utmaningar måste vara framgångsrika för att ett giltigt, signerat certifikat ska kunna utfärdas.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Skriv acme-client -ADv example.org. du bör nu ha ett giltigt SSL-certifikat. Det kommer att vara giltigt i 90 dagar innan du måste köra acme-client igen för att få certifikatet utfärdat på nytt.

Om du får några fel, se till att du har port 80öppet på din brandvägg. Du behöver en DNS A-post som löser sig example.orgtill IP-adressen för din Vultr-instans.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf