UsareLetsEncrypt » History » Version 18
Simone Piccardi, 02/06/2017 03:32 PM
1 | 9 | Simone Piccardi | h1. Usare Let's Encrypt |
---|---|---|---|
2 | 1 | Simone Piccardi | |
3 | 14 | Elena Grandi | {{>toc}} |
4 | |||
5 | h2. Installazione |
||
6 | |||
7 | 16 | Elena Grandi | h3. da pacchetti |
8 | 1 | Simone Piccardi | |
9 | 16 | Elena Grandi | Per l'uso della nuova Certification Authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice è quello di installare i pacchetti della distribuzione, disponibili in Debian a partire da jessie-backports e stretch. |
10 | |||
11 | Se necessario abilitare @jessie-backports@ in @sources.list@, quindi |
||
12 | |||
13 | 1 | Simone Piccardi | <pre> |
14 | 16 | Elena Grandi | apt-get install python-certbot-apache -t jessie-backports |
15 | 1 | Simone Piccardi | </pre> |
16 | |||
17 | 16 | Elena Grandi | h3. dal repository ufficiale |
18 | 1 | Simone Piccardi | |
19 | 16 | Elena Grandi | In alternativa, per distribuzioni più vecchie è necessario usare la versione nel repository ufficiale: |
20 | |||
21 | 1 | Simone Piccardi | <pre> |
22 | 16 | Elena Grandi | git clone https://github.com/certbot/certbot |
23 | 1 | Simone Piccardi | </pre> |
24 | 11 | Simone Piccardi | |
25 | 16 | Elena Grandi | per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è installato e per fargli installare i pacchetti mancanti eseguire (da root): |
26 | 1 | Simone Piccardi | |
27 | <pre> |
||
28 | 16 | Elena Grandi | cd certbot |
29 | ./certbot-auto --help |
||
30 | 11 | Simone Piccardi | </pre> |
31 | |||
32 | 16 | Elena Grandi | il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile. |
33 | 11 | Simone Piccardi | |
34 | Le modalità di utilizzo dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica. |
||
35 | 1 | Simone Piccardi | |
36 | 16 | Elena Grandi | h3. note storiche: @letsencrypt-auto@ |
37 | |||
38 | Le vecchie versioni avevano come nome @letsencrypt@ anziché @certbot@; il funzionamento è lo stesso, usando il comando @letsencrypt-auto@ anziché @certbot-auto@ |
||
39 | |||
40 | 14 | Elena Grandi | h2. La generazione dei certificati |
41 | |||
42 | 3 | Simone Piccardi | h3. Creazione del primo certificato |
43 | 1 | Simone Piccardi | |
44 | In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del comando @certonly@, come indicato anche dal programma stesso se l'automatismo è impossibile: |
||
45 | |||
46 | <pre> |
||
47 | 16 | Elena Grandi | root@holland:~/certbot# ./certbot-auto |
48 | 5 | Simone Piccardi | Checking for new version... |
49 | 1 | Simone Piccardi | Requesting root privileges to run letsencrypt... |
50 | /root/.local/share/letsencrypt/bin/letsencrypt |
||
51 | No installers seem to be present and working on your system; fix that or try running letsencrypt with the "certonly" command |
||
52 | 10 | Simone Piccardi | </pre> |
53 | 1 | Simone Piccardi | |
54 | L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato Let's Encrypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di challenge and response basato sulla possibilità di scaricare un file dal quel dominio. |
||
55 | |||
56 | 9 | Simone Piccardi | Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare apache (o altro webserver) se attivi sul dominio. |
57 | 1 | Simone Piccardi | |
58 | 9 | Simone Piccardi | Si può evitare tutto questo utilizzando l'opzione @--webroot@ se si dispone dell'accesso alla "_document root"_ del sito per cui si vuole ottenere il certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @/.well-known/acme-challenge@, che però deve poter essere servita (occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, per @nginx@ è in genere necessaria un configurazione ad hoc, ci torneremo più avanti). |
59 | 1 | Simone Piccardi | |
60 | La directory della "_document root"_ deve essere indicata con l'opzione @-w@, mentre il dominio (o i domini se sono più di uno, nel qual caso saranno aggiunti allo stesso certificato come nomi alternativi) devono essere richiesti con l'opzione @-d@. Se si hanno diversi siti con diverse "_document root"_ in teoria si potrebbe eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicarle e poi l'opzione @-d@ per indicare il dominio, quest'ultima infatti assume si stia usando come "_document root"_ la directory indicata con l'ultima occorrenza precedente di @-w@, ma tutte devono essere egualmente accessibili, o si ripetere l'operazione per ciascun dominio, generando certificati separati, oppure si può usare la stessa "_document root"_ per tutti i domini (usando le configurazioni descritte in seguito per consentire ad essa l'accesso via web per ciascuno di essi). Un esempio di invocazione del comando è il seguente: |
||
61 | 13 | Elena Grandi | |
62 | 1 | Simone Piccardi | <pre> |
63 | 16 | Elena Grandi | # ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it |
64 | 1 | Simone Piccardi | [...] |
65 | IMPORTANT NOTES: |
||
66 | - Congratulations! Your certificate and chain have been saved at |
||
67 | /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will |
||
68 | expire on 2016-07-07. To obtain a new version of the certificate in |
||
69 | the future, simply run Let's Encrypt again. |
||
70 | - If you lose your account credentials, you can recover through |
||
71 | e-mails sent to xxx@truelite.it. |
||
72 | - Your account credentials have been saved in your Let's Encrypt |
||
73 | configuration directory at /etc/letsencrypt. You should make a |
||
74 | secure backup of this folder now. This configuration directory will |
||
75 | also contain certificates and private keys obtained by Let's |
||
76 | Encrypt so making regular backups of this folder is ideal. |
||
77 | - If you like Let's Encrypt, please consider supporting our work by: |
||
78 | |||
79 | Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate |
||
80 | 12 | Elena Grandi | Donating to EFF: https://eff.org/donate-le |
81 | </pre> |
||
82 | 1 | Simone Piccardi | |
83 | 13 | Elena Grandi | Se un certificato deve essere valido per numerosi domini, si possono salvare in un file, nell'esempio @valid_hosts.txt@ (un dominio per riga) ed usare il comando: |
84 | 12 | Elena Grandi | |
85 | <pre> |
||
86 | 16 | Elena Grandi | # ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d $(xargs < valid_hosts.txt | sed 's/ /,/g') |
87 | 14 | Elena Grandi | </pre> |
88 | 1 | Simone Piccardi | |
89 | 14 | Elena Grandi | La prima volta verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e poi generato un certificato. La prima volta che si esegue il comando su una macchina oltre ad indicare la email di contatto si dovranno anche accettare le condizioni di Let's Encrypt. I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato (nel caso @mail.truelite.it/@). |
90 | |||
91 | 15 | Elena Grandi | h3. Aggiunta di nuovi certificati |
92 | 14 | Elena Grandi | |
93 | 1 | Simone Piccardi | Ogni invocazione successiva si limiterà a creare i certificati richiesti con qualcosa del tipo: |
94 | |||
95 | <pre> |
||
96 | 16 | Elena Grandi | # ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it |
97 | 1 | Simone Piccardi | Checking for new version... |
98 | Requesting root privileges to run letsencrypt... |
||
99 | /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it |
||
100 | |||
101 | IMPORTANT NOTES: |
||
102 | - Congratulations! Your certificate and chain have been saved at |
||
103 | /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will |
||
104 | expire on 2016-07-07. To obtain a new version of the certificate in |
||
105 | the future, simply run Let's Encrypt again. |
||
106 | - If you like Let's Encrypt, please consider supporting our work by: |
||
107 | |||
108 | Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate |
||
109 | Donating to EFF: https://eff.org/donate-le |
||
110 | 7 | Simone Piccardi | </pre> |
111 | |||
112 | 1 | Simone Piccardi | |
113 | Con lo script @listlecert.sh@ si può stampare un elenco dei certificati creati, e dei domini da essi coperti. |
||
114 | |||
115 | h2. Configurazioni per consentire la validazione |
||
116 | |||
117 | Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL: |
||
118 | |||
119 | <pre> |
||
120 | http://mio.dominio.it/.well-known/acme-challenge/xxx |
||
121 | 14 | Elena Grandi | </pre> |
122 | 1 | Simone Piccardi | |
123 | 14 | Elena Grandi | cosa che può dipendere dalla configurazione del proprio webserver. |
124 | |||
125 | h3. Nginx |
||
126 | |||
127 | 1 | Simone Piccardi | Nel caso di Nginx la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: |
128 | |||
129 | <pre> |
||
130 | location ^~ /.well-known/acme-challenge/ { |
||
131 | default_type "text/plain"; |
||
132 | root /var/www/letsencrypt; |
||
133 | } |
||
134 | location = /.well-known/acme-challenge/ { |
||
135 | return 404; |
||
136 | } |
||
137 | 9 | Simone Piccardi | </pre> |
138 | 1 | Simone Piccardi | |
139 | queste istruzioni consentono di eseguire la validazione indicando come @webroot@ la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo: |
||
140 | |||
141 | <pre> |
||
142 | server { |
||
143 | listen 80; |
||
144 | root /var/www/html; |
||
145 | server_name bd.truelite.it; |
||
146 | include /etc/nginx/snippets/letsencrypt-acme-challenge.conf; |
||
147 | location / { |
||
148 | rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent; |
||
149 | } |
||
150 | } |
||
151 | 14 | Elena Grandi | </pre> |
152 | |||
153 | 1 | Simone Piccardi | h3. Apache |
154 | |||
155 | una analoga configurazione per Apache si può effettuare inserendo in @/etc/apache2/conf.d@ (o con Jessie in @/etc/apache2/conf-available/@ per poi abilitarlo con @a2enconf@) il seguente frammento di configurazione: |
||
156 | 11 | Simone Piccardi | |
157 | <pre> |
||
158 | 1 | Simone Piccardi | Alias /.well-known/acme-challenge/ /var/www/letsencrypt/.well-known/acme-challenge/ |
159 | <Directory "/var/www/letsencrypt/.well-known/acme-challenge/"> |
||
160 | Options None |
||
161 | AllowOverride None |
||
162 | ForceType text/plain |
||
163 | # avoid access to anything not resembling a challenge |
||
164 | 6 | Simone Piccardi | RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)" |
165 | </Directory> |
||
166 | </pre> |
||
167 | |||
168 | Si tenga presente però che quando si usa Apache come reverse proxy occorrerà anche inserire una opportuna eccezione alle regole di proxy per la suddetta URL, in sostanza si dovrà aggiungere alla configurazione del virtual host una riga: |
||
169 | |||
170 | 1 | Simone Piccardi | <pre> |
171 | ProxyPass /.well-known/acme-challenge ! |
||
172 | </pre> |
||
173 | |||
174 | 17 | Simone Piccardi | Infine, quando si forza la redirezione su SSL delle connessioni in chiaro, occorre evitare che questo avvenga anche per le richieste di Let's Encrypt, pertanto occorrerà sostituire una eventuale direttiva di redirezione generica come la seguente: |
175 | |||
176 | <pre> |
||
177 | VirtualHost *:80> |
||
178 | ServerName ci.truelite.it |
||
179 | Redirect permanent / https://ci.truelite.it/ |
||
180 | </VirtualHost> |
||
181 | </pre> |
||
182 | |||
183 | con una più specifica che escluda la redirezione per la URL utilizzata da Let's Encrypt: |
||
184 | |||
185 | <pre> |
||
186 | VirtualHost *:80> |
||
187 | ServerName ci.truelite.it |
||
188 | RedirectMatch 301 ^/((?!.well-known\/acme-challenge).*)$ https://ci.truelite.it/$1 |
||
189 | </VirtualHost> |
||
190 | </pre> |
||
191 | |||
192 | 1 | Simone Piccardi | |
193 | h2. Esempi di configurazione dei servizi |
||
194 | |||
195 | 4 | Simone Piccardi | Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file: |
196 | 1 | Simone Piccardi | |
197 | | *file* | *contenuto* | |
||
198 | |cert.pem | cerficato | |
||
199 | |chain.pem | catena dalla CA | |
||
200 | |fullchain.pem | catena + certificato| |
||
201 | 3 | Simone Piccardi | |privkey.pem | chiave privata | |
202 | 1 | Simone Piccardi | |
203 | Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@. |
||
204 | |||
205 | 14 | Elena Grandi | In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti. |
206 | |||
207 | 1 | Simone Piccardi | h3. Apache |
208 | |||
209 | I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è: |
||
210 | 3 | Simone Piccardi | |
211 | 1 | Simone Piccardi | <pre> |
212 | 3 | Simone Piccardi | SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem |
213 | 1 | Simone Piccardi | SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem |
214 | SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem |
||
215 | 14 | Elena Grandi | </pre> |
216 | |||
217 | 5 | Simone Piccardi | h3. Postfix |
218 | 1 | Simone Piccardi | |
219 | 3 | Simone Piccardi | Invece @fullchain.pem@ è l'insieme del certificato e di tutta la sua catena di firma, che viene richiesto da Postfix, Dovecot e Nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive: |
220 | 1 | Simone Piccardi | |
221 | <pre> |
||
222 | smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem |
||
223 | smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem |
||
224 | 14 | Elena Grandi | </pre> |
225 | |||
226 | 5 | Simone Piccardi | h3. Dovecot |
227 | 3 | Simone Piccardi | |
228 | 1 | Simone Piccardi | mentre per Dovecot di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive: |
229 | |||
230 | <pre> |
||
231 | ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem |
||
232 | ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem |
||
233 | 14 | Elena Grandi | </pre> |
234 | |||
235 | 5 | Simone Piccardi | h3. Nginx |
236 | 3 | Simone Piccardi | |
237 | ed infine per Nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo: |
||
238 | 5 | Simone Piccardi | |
239 | 3 | Simone Piccardi | <pre> |
240 | server { |
||
241 | 1 | Simone Piccardi | listen 443 ssl; |
242 | 3 | Simone Piccardi | server_name bd.truelite.it; |
243 | root /var/www/html; |
||
244 | 1 | Simone Piccardi | ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem; |
245 | ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem; |
||
246 | 14 | Elena Grandi | ... |
247 | </pre> |
||
248 | 1 | Simone Piccardi | |
249 | 9 | Simone Piccardi | h3. ejabberd |
250 | 1 | Simone Piccardi | |
251 | Infine per configurare ejabberd (server jabber) occorre generare dai file di Let's Encrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà rigenerarlo ogni volta che si generano o rinnovano i certificati con: |
||
252 | |||
253 | <pre> |
||
254 | cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \ |
||
255 | /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem |
||
256 | </pre> |
||
257 | |||
258 | In tutti i casi deve essere effettuato un riavvio completo dei servizi. |
||
259 | |||
260 | |||
261 | 10 | Simone Piccardi | h2. Il rinnovo dei certificati |
262 | 1 | Simone Piccardi | |
263 | La scadenza dei certificati emessi da Let's Encrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo: |
||
264 | |||
265 | <pre> |
||
266 | 18 | Simone Piccardi | # ./certbot-auto renew |
267 | 1 | Simone Piccardi | Checking for new version... |
268 | Requesting root privileges to run letsencrypt... |
||
269 | /root/.local/share/letsencrypt/bin/letsencrypt renew |
||
270 | |||
271 | ------------------------------------------------------------------------------- |
||
272 | Processing /etc/letsencrypt/renewal/mail.truelite.it.conf |
||
273 | ------------------------------------------------------------------------------- |
||
274 | |||
275 | The following certs are not due for renewal yet: |
||
276 | /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped) |
||
277 | No renewals were attempted. |
||
278 | </pre> |
||
279 | |||
280 | la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto: |
||
281 | |||
282 | <pre> |
||
283 | 18 | Simone Piccardi | 00 23 * * 6 root /root/letsencrypt/certbot-auto renew |
284 | 7 | Simone Piccardi | </pre> |
285 | 1 | Simone Piccardi | |
286 | 18 | Simone Piccardi | oppure usare lo script @le-renew@ allegato, che esegue anche il riavvio dei servizi, avendo cura di adattarlo alle proprie esigenze; in tal caso il suggerimento è di inserirlo fra quelli di @/etc/cron.weekly@. |