Використання Lets Encrypt на OpenBSD 6.1

Більше нікому не потрібно створювати власні сертифікати SSL, тому що тепер ви можете отримати власний безкоштовний дійсний сертифікат SSL від Let's Encrypt . Цей сертифікат перевірений лише в домені, тому його не слід використовувати для електронної комерції. Сертифікат, виданий Let's Encrypt, може бути дійсним для основних і субдоменів, які ви вказали, але Let's Encrypt поки не підтримує сертифікати підстановки. OpenBSD включає клієнт Let's Encrypt під назвою acme-client.

ПРИМІТКА. Не забудьте замінити example.orgна свій домен .

Налаштуйте /etc/acme-client.confфайл конфігурації.

# cd /etc
# vi acme-client.conf

Додайте наступне до файлу. domain full chainСертифікат містить Звернемо Шифрування SSL ланцюг, яка корисна для перевірки. Тут ми будемо використовувати повний ланцюжок замість domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Налаштуйте та запустіть httpd.conf. Клієнт acme використовує веб-сервер для виконання своїх завдань, щоб перевірити дійсність домену. Ці завдання мають бути успішними, щоб отримати дійсний підписаний сертифікат.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Тип acme-client -ADv example.org. тепер ви повинні мати дійсний сертифікат SSL. Він буде дійсний протягом 90 днів, перш ніж вам доведеться знову запустити acme-client, щоб отримати сертифікат повторно.

Якщо ви отримуєте помилки, переконайтеся, що port 80у вашому брандмауері відкрито. Вам знадобиться запис DNS A, який розв’язується example.orgдо IP-адреси вашого екземпляра Vultr.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf