Новый блог

Воспользуемся клиентом letsencrypt для генерации SSL-сертификата для доменов maximov.space и www.maximov.space. Перед тем, как сгенерировать сертификат для домена, letsencrypt должен удостовериться, что домен принадлежит именно нам.

Такая проверка осуществляется с помощью одного из поддерживаемых плагинов. Один из самых простых — это плагин standalone, который запускает локальный веб-сервер для коммуникации с проверяющим сервером Let's Encrypt. Сгенерировать сертификат для наших доменов с использованием этого плагина можно было бы так:

  $ sudo letsencrypt certonly --standalone \
    --email s.b.maximov@gmail.com --agree-tos \
    --domains maximov.space,www.maximov.space

Сгенерированные сертификаты сохранены в директории /etc/letsencrypt/live/maximov.space/ вместе с параметрами генерации, которые в дальнейшем будут использоваться для обновления сертификата.

Первоначально я и воспользовался данным методом, однако, несмотря на всю его простоту, он имеет серьёзный недостаток: для работы плагина standalone необходимо останавливать уже запущенные веб-серверы, такие как nginx, что, в свою очередь, создаст проблемы при обновлении сертификата. Поэтому вместо этого мы воспользуемся плагином webroot.

Этот плагин требует наличие существующего веб-сервера, способного отдавать контент из директории web root, которая должна быть доступна для модификации пользователю, запускающему letsencrypt. Ранее мы создали директорию /var/www/common/letsencrypt (${webroot-path}), которая и представляют web root для нашего сервера.

Плагин работает путём создания временного файла в ${webroot-path}/.well-known/acme-challenge. Затем удостоверяющий сервер Let's Encrypt делает HTTP-запрос на получение этого файла, который проверяет, что DNS-запись для наших доменов резолвится на запущенный веб-сервер. При этом в логах можно увидеть примерно такой запрос:

  "GET /.well-known/acme-challenge/${some-random-string} HTTP/1.1"

Удалим дефолтный сервер из /etc/nginx/nginx.conf, создадим /etc/nginx/conf.d/maximov.space.conf.

  server {
      listen 80;

      server_name www.maximov.space maximov.space;

      location /.well-known/acme-challenge/ {
          default_type "text/plain";
          root /var/www/common/letsencrypt;
      }

      location / {
          return 301 https://maximov.space$request_uri;
      }
  }

Данный сервер обрабатывает HTTP-запросы, отдавая по путям, начинающимся с /.well/known/acme-challenge/, файлы из /var/www/common/letsencrypt (${webroot-path}). Для всех остальных путей производится перенаправление на https://maximov.space$request_uri.

Перезагрузим конфигурацию nginx, чтобы внесённые изменения вступили в силу ($ sudo systemctl reload nginx).

Теперь создадим скрипт, который будет использовать этот плагин. Для удобства мы воспользуемся файлом конфигурации вместо опций командной строки. Создадим /etc/letsencrypt/maximov.space.ini:

  rsa-key-size=4096
  server=https://acme-v01.api.letsencrypt.org/directory
  email=s.b.maximov@gmail.com
  domains=maximov.space,www.maximov.space
  agree-tos=True
  force-renew=True

Рассмотрим использованные опции:

rsa-key-size

размер ключа.

server

адрес удостоверяющего сервера Let's Encrypt. Значение по умолчанию — https://acme-v01.api.letsencrypt.org/directory. Для тестирования этот параметр можно изменить на https://acme-staging.api.letsencrypt.org/directory либо указать в качестве альтернативы staging=True, также при этом может понадобиться указать параметр break-my-certs=True, который позволит заменить валидный сертификат тестовым.

email

почтовый адрес, используемый при регистрации.

domains

список доменов, на которые распространяется сертификат.

agree-tos

согласиться с пользовательским соглашением.

force-renew

обновить сертификат, даже если это не требуется.

Создадим /etc/letsencrypt/create-renew-certificate.sh и сделаем его исполняемым:

  #!/bin/bash

  set -e

  WEBROOT=/var/www/common/letsencrypt

  /bin/letsencrypt certonly --webroot --webroot-path=${WEBROOT} "$@"
  systemctl reload nginx

Теперь мы можем сгенерировать сертификат командой

  $ /etc/letsencrypt/create-renew-certificate.sh \
    --config /etc/letsencrypt/maximov.space.ini

Вместо этого создадим отдельный unit /etc/systemd/system/cert-renew.service, который нам ещё пригодится в дальнейшем:

  [Unit]
  Description=Renew SSL certificates

  [Service]
  Type=oneshot
  ExecStart=/etc/letsencrypt/create-renew-certificate.sh \
    --config /etc/letsencrypt/maximov.space.ini

Запустим этот сервис, чтобы сгенерировать сертификат:

  $ sudo systemctl start cert-renew

При этом в директории /etc/letsencrypt/live/maximov.space/ появятся следующие файлы:

privkey.pem

приватный ключ для сертификата. КО подсказывает, что его нужно хранить в секрете.

cert.pem

сертификат нашего сервера.

chain.pem

цепочка всех сертификатов, начиная с корневого сертификата, которая необходима браузеру для того, чтобы установить подлинность сервера, исключая cert.pem.

fullchain.pem

конкатенация chain.pem и cert.pem.

Время жизни сертификата — три месяца, поэтому необходимо настроить автоматическое обновление сертификата. letsencrypt запоминает параметры создания последнего сертификата, поэтому для обновления достаточно запустить letsencrypt без параметров или с последними использованными параметрами. Воспользуемся созданным ранее сервисом /cert-renew.service, напишем таймер /etc/systemd/system/cert-renew.timer, который будет запускать обновление сертификата каждый месяц:

  [Unit]
  Description=Run cert-renew.service every month

  [Timer]
  OnCalendar=monthly
  Persistent=true

  [Install]
  WantedBy=timers.target

Запустим таймер и добавим его в автозагрузку:

  $ sudo systemctl start cert-renew.timer
  $ sudo systemctl enable cert-renew.timer

Теперь можно настроить HTTPS-сервер, который будет отдавать блог.

Настройки SSL — сертификат, разрешённые протоколы и шифры, параметры сессии:

  ssl_certificate /etc/letsencrypt/live/maximov.space/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/maximov.space/privkey.pem;

  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers 'EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH';
  ssl_prefer_server_ciphers on;

  ssl_session_cache shared:SSL:10m;
  ssl_session_timeout 10m;

Помимо уже настроенного перенаправления с HTTP на HTTPS сделаем перенаправление с www.maximov.space на maximov.space для SSL:

  server {
      listen 443 ssl;
      server_name www.maximov.space;

      return 301 https://maximov.space$request_uri;
  }

Секция, которая будет обрабатывать запросы к блогу:

  server {
      listen 443 ssl;
      server_name maximov.space;

      root /var/www/maximov.space;

      keepalive_timeout 70;

      index index.html;
      autoindex off;

      location / {
          try_files $uri $uri/ =404;
      }

      location ~ /\. {
          access_log off;
          log_not_found off;
          deny all;
      }

      location ~ ~$ {
          access_log off;
          log_not_found off;
          deny all;
      }
  }

Перезагрузим конфигурацию nginx, после этого всё должно работать, осталось только добавить unit Nginx в автозагрузку:

  $ sudo systemctl enable nginx