Progetto

Generale

Profilo

UsareLetsEncrypt » Cronologia » Versione 14

Elena Grandi, 20-01-2017 10:35

1 9 Simone Piccardi
h1. Usare Let's Encrypt
2 1 Simone Piccardi
3 14 Elena Grandi
{{>toc}}
4
5
h2. Installazione
6
7 5 Simone Piccardi
Per l'uso della nuova Certification Authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice (i pacchetti Debian sono disponibili al momento solo su testing e unstable) è quello di installare direttamente dal repository ufficiale, con:
8 1 Simone Piccardi
9
<pre>
10
git clone https://github.com/letsencrypt/letsencrypt
11
</pre>
12
13
per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è installato e per fargli installare i pacchetti mancanti eseguire (da root):
14
15
<pre>
16
cd letsencrypt
17
./letsencrypt-auto --help
18
</pre>
19
20
il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile.
21
22 11 Simone Piccardi
Alternativamente su Jessie si può installare dal repository di backports (che devono essere abilitati in @sources.list@) la nuova versione del programma, rinominata in @certbot@, del pacchetto esistono varie versioni, ed il supporto per quella in grado di eseguire una configurazione automatica di Apache si può installare con:
23
24
<pre>
25
apt-get install python-certbot-apache -t jessie-backports
26
</pre>
27
28
nel caso si utilizzi questa versione si sostituisca nel seguito a @letsencrypt-auto@ il comando @certbot@.
29
30 1 Simone Piccardi
Le modalità di utilizzo dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica.
31
32
h2. La generazione dei certificati
33
34 14 Elena Grandi
h3. Creazione del primo certificato
35
36 3 Simone Piccardi
In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del comando @certonly@, come indicato anche dal programma stesso se l'automatismo è impossibile:
37 1 Simone Piccardi
38
<pre>
39
root@holland:~/letsencrypt# ./letsencrypt-auto
40
Checking for new version...
41
Requesting root privileges to run letsencrypt...
42
   /root/.local/share/letsencrypt/bin/letsencrypt
43 5 Simone Piccardi
   No installers seem to be present and working on your system; fix that or try running letsencrypt with the "certonly" command
44 1 Simone Piccardi
</pre>
45
46 10 Simone Piccardi
L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato Let's Encrypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di challenge and response basato sulla possibilità di scaricare un file dal quel dominio.
47 1 Simone Piccardi
48
Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare apache (o altro webserver) se attivi sul dominio.
49
50 9 Simone Piccardi
Si può evitare tutto questo utilizzando l'opzione @--webroot@ se si dispone dell'accesso alla "_document root"_ del sito per cui si vuole ottenere il certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @/.well-known/acme-challenge@, che però deve poter essere servita (occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, per @nginx@ è in genere necessaria un configurazione ad hoc, ci torneremo più avanti).
51 1 Simone Piccardi
52 9 Simone Piccardi
La directory della "_document root"_ deve essere indicata con l'opzione @-w@, mentre il dominio (o i domini se sono più di uno, nel qual caso saranno aggiunti allo stesso certificato come nomi alternativi) devono essere richiesti con l'opzione @-d@. Se si hanno diversi siti con diverse "_document root"_ in teoria si potrebbe eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicarle e poi l'opzione @-d@ per indicare il dominio, quest'ultima infatti assume si stia usando come "_document root"_ la directory indicata con l'ultima occorrenza precedente di @-w@, ma tutte devono essere egualmente accessibili, o si ripetere l'operazione per ciascun dominio, generando certificati separati, oppure si può usare la stessa "_document root"_ per tutti i domini (usando le configurazioni descritte in seguito per consentire ad essa l'accesso via web per ciascuno di essi). Un esempio di invocazione del comando è il seguente:
53 1 Simone Piccardi
54
<pre>
55 13 Elena Grandi
# ./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it
56 1 Simone Piccardi
[...]
57
IMPORTANT NOTES:
58
 - Congratulations! Your certificate and chain have been saved at
59
   /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will
60
   expire on 2016-07-07. To obtain a new version of the certificate in
61
   the future, simply run Let's Encrypt again.
62
 - If you lose your account credentials, you can recover through
63
   e-mails sent to xxx@truelite.it.
64
 - Your account credentials have been saved in your Let's Encrypt
65
   configuration directory at /etc/letsencrypt. You should make a
66
   secure backup of this folder now. This configuration directory will
67
   also contain certificates and private keys obtained by Let's
68
   Encrypt so making regular backups of this folder is ideal.
69
 - If you like Let's Encrypt, please consider supporting our work by:
70
71
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
72
   Donating to EFF:                    https://eff.org/donate-le
73
</pre>
74
75 12 Elena Grandi
Se un certificato deve essere valido per numerosi domini, si possono salvare in un file, nell'esempio @valid_hosts.txt@  (un dominio per riga) ed usare il comando:
76
77 13 Elena Grandi
<pre>
78 12 Elena Grandi
# ./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt/ -d $(xargs < valid_hosts.txt | sed 's/ /,/g')
79
</pre>
80 1 Simone Piccardi
81 14 Elena Grandi
La prima volta verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e poi generato un certificato. La prima volta che si esegue il comando su una macchina oltre ad indicare la email di contatto si dovranno anche accettare le condizioni di Let's Encrypt. I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato (nel caso @mail.truelite.it/@). 
82 1 Simone Piccardi
83 14 Elena Grandi
h3. Aggiunta di nuovi certificati
84
85
> Ogni invocazione successiva si limiterà a creare i certificati richiesti con qualcosa del tipo:
86
87 1 Simone Piccardi
<pre>
88
# ./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it 
89
Checking for new version...
90
Requesting root privileges to run letsencrypt...
91
   /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it
92
93
IMPORTANT NOTES:
94
 - Congratulations! Your certificate and chain have been saved at
95
   /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will
96
   expire on 2016-07-07. To obtain a new version of the certificate in
97
   the future, simply run Let's Encrypt again.
98
 - If you like Let's Encrypt, please consider supporting our work by:
99
100
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
101
   Donating to EFF:                    https://eff.org/donate-le
102
</pre>
103
104 7 Simone Piccardi
105
Con lo script @listlecert.sh@ si può stampare un elenco dei certificati creati, e dei domini da essi coperti.
106 1 Simone Piccardi
107
h2. Configurazioni per consentire la validazione
108
109
Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL:
110
111
<pre>
112
http://mio.dominio.it/.well-known/acme-challenge/xxx
113
</pre>
114
115 14 Elena Grandi
cosa che può dipendere dalla configurazione del proprio webserver.
116 1 Simone Piccardi
117 14 Elena Grandi
h3. Nginx
118
119
Nel caso di Nginx la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: 
120
121 1 Simone Piccardi
<pre>
122
location ^~ /.well-known/acme-challenge/ {
123
    default_type "text/plain";
124
    root         /var/www/letsencrypt;
125
}
126
location = /.well-known/acme-challenge/ {
127
    return 404;
128
}
129
</pre>
130
131 9 Simone Piccardi
queste istruzioni consentono di eseguire la validazione indicando come @webroot@ la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo:
132 1 Simone Piccardi
133
<pre>
134
server {
135
        listen 80;
136
        root /var/www/html;
137
        server_name bd.truelite.it;
138
        include /etc/nginx/snippets/letsencrypt-acme-challenge.conf;
139
        location / {
140
            rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent;
141
        }       
142
}
143
</pre>
144
145 14 Elena Grandi
h3. Apache
146
147 1 Simone Piccardi
una analoga configurazione per Apache si può effettuare inserendo in @/etc/apache2/conf.d@ (o con Jessie in @/etc/apache2/conf-available/@ per poi abilitarlo con @a2enconf@) il seguente frammento di configurazione:
148
149
<pre>
150 11 Simone Piccardi
Alias /.well-known/acme-challenge/ /var/www/letsencrypt/.well-known/acme-challenge/
151
<Directory "/var/www/letsencrypt/.well-known/acme-challenge/">
152 1 Simone Piccardi
    Options None
153
    AllowOverride None
154
    ForceType text/plain
155
    # avoid access to anything not resembling a challenge
156
    RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)"
157
</Directory>
158 6 Simone Piccardi
</pre>
159
160
Si tenga presente però che quando si usa Apache come reverse proxy occorrerà anche inserire una opportuna eccezione alle regole di proxy per la suddetta URL, in sostanza si dovrà aggiungere alla configurazione del virtual host una riga:
161
162
<pre>
163
ProxyPass /.well-known/acme-challenge !
164 1 Simone Piccardi
</pre>
165
166
167
h2. Esempi di configurazione dei servizi
168
169
Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file:
170
171 4 Simone Piccardi
| *file*    | *contenuto* |
172 1 Simone Piccardi
|cert.pem      | cerficato |
173
|chain.pem     | catena dalla CA |
174
|fullchain.pem | catena + certificato|
175
|privkey.pem   | chiave privata |
176
177 3 Simone Piccardi
Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@.
178 1 Simone Piccardi
179
In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti.
180
181 14 Elena Grandi
h3. Apache
182
183 1 Simone Piccardi
I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è:
184
185
<pre>
186 3 Simone Piccardi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem
187 1 Simone Piccardi
SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem
188 3 Simone Piccardi
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
189 1 Simone Piccardi
</pre>
190
191 14 Elena Grandi
h3. Postfix
192
193 5 Simone Piccardi
Invece @fullchain.pem@ è l'insieme del certificato e di tutta la sua catena di firma, che viene richiesto da Postfix, Dovecot e Nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive:
194 1 Simone Piccardi
195 3 Simone Piccardi
<pre>
196 1 Simone Piccardi
smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem
197
smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem
198
</pre>
199
200 14 Elena Grandi
h3. Dovecot
201
202 5 Simone Piccardi
mentre per Dovecot di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive:
203 3 Simone Piccardi
204 1 Simone Piccardi
<pre>
205
ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem
206
ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem
207
</pre>
208
209 14 Elena Grandi
h3. Nginx
210
211 5 Simone Piccardi
ed infine per Nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo:
212 3 Simone Piccardi
213
<pre>
214 5 Simone Piccardi
server {
215 3 Simone Piccardi
   listen 443 ssl;
216
   server_name bd.truelite.it;
217 1 Simone Piccardi
   root /var/www/html;
218 3 Simone Piccardi
   ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem;
219
   ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem;
220 1 Simone Piccardi
   ...
221
</pre>
222 14 Elena Grandi
223
h3. ejabberd
224 1 Simone Piccardi
225 9 Simone Piccardi
Infine per configurare ejabberd (server jabber) occorre generare dai file di Let's Encrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà rigenerarlo ogni volta che si generano o rinnovano i certificati con:
226 1 Simone Piccardi
227
<pre>
228
cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \
229
    /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem
230
</pre>
231
232
In tutti i casi deve essere effettuato un riavvio completo dei servizi. 
233
234
235
h2. Il rinnovo dei certificati
236
237 10 Simone Piccardi
La scadenza dei certificati emessi da Let's Encrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo:
238 1 Simone Piccardi
239
<pre>
240
# ./letsencrypt-auto renew
241
Checking for new version...
242
Requesting root privileges to run letsencrypt...
243
   /root/.local/share/letsencrypt/bin/letsencrypt renew
244
245
-------------------------------------------------------------------------------
246
Processing /etc/letsencrypt/renewal/mail.truelite.it.conf
247
-------------------------------------------------------------------------------
248
249
The following certs are not due for renewal yet:
250
  /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped)
251
No renewals were attempted.
252
</pre>
253
254
la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto:
255
256
<pre>
257
00 23 * * 6  root /root/letsencrypt/letsencrypt-auto renew
258
</pre>
259 5 Simone Piccardi
260 7 Simone Piccardi
oppure usare lo script @le-renew@ allegato (da adattare alle proprie esigenze), da inserire in  @/etc/cron.weekly@.