Progetto

Generale

Profilo

UsareLetsEncrypt » Cronologia » Versione 19

Simone Piccardi, 06-02-2017 15:37

1 9 Simone Piccardi
h1. Usare Let's Encrypt
2 1 Simone Piccardi
3 14 Elena Grandi
{{>toc}}
4
5
h2. Installazione
6
7 16 Elena Grandi
h3. da pacchetti
8 1 Simone Piccardi
9 16 Elena Grandi
Per l'uso della nuova Certification Authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice è quello di installare i pacchetti della distribuzione, disponibili in Debian a partire da jessie-backports e stretch.
10
11
Se necessario abilitare @jessie-backports@ in @sources.list@, quindi
12
13 1 Simone Piccardi
<pre>
14 16 Elena Grandi
apt-get install python-certbot-apache -t jessie-backports
15 1 Simone Piccardi
</pre>
16
17 16 Elena Grandi
h3. dal repository ufficiale
18 1 Simone Piccardi
19 16 Elena Grandi
In alternativa, per distribuzioni più vecchie è necessario usare la versione nel repository ufficiale:
20
21 1 Simone Piccardi
<pre>
22 16 Elena Grandi
git clone https://github.com/certbot/certbot
23 1 Simone Piccardi
</pre>
24 11 Simone Piccardi
25 16 Elena Grandi
per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è installato e per fargli installare i pacchetti mancanti eseguire (da root):
26 1 Simone Piccardi
27
<pre>
28 16 Elena Grandi
cd certbot
29
./certbot-auto --help
30 11 Simone Piccardi
</pre>
31
32 16 Elena Grandi
il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile.
33 11 Simone Piccardi
34
Le modalità di utilizzo dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica.
35 1 Simone Piccardi
36 16 Elena Grandi
h3. note storiche: @letsencrypt-auto@
37
38
Le vecchie versioni avevano come nome @letsencrypt@ anziché @certbot@; il funzionamento è lo stesso, usando il comando @letsencrypt-auto@ anziché @certbot-auto@
39
40 14 Elena Grandi
h2. La generazione dei certificati
41
42 3 Simone Piccardi
h3. Creazione del primo certificato
43 1 Simone Piccardi
44
In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del comando @certonly@, come indicato anche dal programma stesso se l'automatismo è impossibile:
45
46
<pre>
47 16 Elena Grandi
root@holland:~/certbot# ./certbot-auto
48 5 Simone Piccardi
Checking for new version...
49 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
50
   /root/.local/share/letsencrypt/bin/letsencrypt
51
   No installers seem to be present and working on your system; fix that or try running letsencrypt with the "certonly" command
52 10 Simone Piccardi
</pre>
53 1 Simone Piccardi
54
L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato Let's Encrypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di challenge and response basato sulla possibilità di scaricare un file dal quel dominio.
55
56 9 Simone Piccardi
Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare apache (o altro webserver) se attivi sul dominio.
57 1 Simone Piccardi
58 9 Simone Piccardi
Si può evitare tutto questo utilizzando l'opzione @--webroot@ se si dispone dell'accesso alla "_document root"_ del sito per cui si vuole ottenere il certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @/.well-known/acme-challenge@, che però deve poter essere servita (occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, per @nginx@ è in genere necessaria un configurazione ad hoc, ci torneremo più avanti).
59 1 Simone Piccardi
60
La directory della "_document root"_ deve essere indicata con l'opzione @-w@, mentre il dominio (o i domini se sono più di uno, nel qual caso saranno aggiunti allo stesso certificato come nomi alternativi) devono essere richiesti con l'opzione @-d@. Se si hanno diversi siti con diverse "_document root"_ in teoria si potrebbe eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicarle e poi l'opzione @-d@ per indicare il dominio, quest'ultima infatti assume si stia usando come "_document root"_ la directory indicata con l'ultima occorrenza precedente di @-w@, ma tutte devono essere egualmente accessibili, o si ripetere l'operazione per ciascun dominio, generando certificati separati, oppure si può usare la stessa "_document root"_ per tutti i domini (usando le configurazioni descritte in seguito per consentire ad essa l'accesso via web per ciascuno di essi). Un esempio di invocazione del comando è il seguente:
61 13 Elena Grandi
62 1 Simone Piccardi
<pre>
63 16 Elena Grandi
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it
64 1 Simone Piccardi
[...]
65
IMPORTANT NOTES:
66
 - Congratulations! Your certificate and chain have been saved at
67
   /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will
68
   expire on 2016-07-07. To obtain a new version of the certificate in
69
   the future, simply run Let's Encrypt again.
70
 - If you lose your account credentials, you can recover through
71
   e-mails sent to xxx@truelite.it.
72
 - Your account credentials have been saved in your Let's Encrypt
73
   configuration directory at /etc/letsencrypt. You should make a
74
   secure backup of this folder now. This configuration directory will
75
   also contain certificates and private keys obtained by Let's
76
   Encrypt so making regular backups of this folder is ideal.
77
 - If you like Let's Encrypt, please consider supporting our work by:
78
79
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
80 12 Elena Grandi
   Donating to EFF:                    https://eff.org/donate-le
81
</pre>
82 1 Simone Piccardi
83 13 Elena Grandi
Se un certificato deve essere valido per numerosi domini, si possono salvare in un file, nell'esempio @valid_hosts.txt@  (un dominio per riga) ed usare il comando:
84 12 Elena Grandi
85
<pre>
86 16 Elena Grandi
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d $(xargs < valid_hosts.txt | sed 's/ /,/g')
87 14 Elena Grandi
</pre>
88 1 Simone Piccardi
89 14 Elena Grandi
La prima volta verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e poi generato un certificato. La prima volta che si esegue il comando su una macchina oltre ad indicare la email di contatto si dovranno anche accettare le condizioni di Let's Encrypt. I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato (nel caso @mail.truelite.it/@). 
90
91 15 Elena Grandi
h3. Aggiunta di nuovi certificati
92 14 Elena Grandi
93 1 Simone Piccardi
Ogni invocazione successiva si limiterà a creare i certificati richiesti con qualcosa del tipo:
94
95
<pre>
96 16 Elena Grandi
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it 
97 1 Simone Piccardi
Checking for new version...
98
Requesting root privileges to run letsencrypt...
99
   /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it
100
101
IMPORTANT NOTES:
102
 - Congratulations! Your certificate and chain have been saved at
103
   /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will
104
   expire on 2016-07-07. To obtain a new version of the certificate in
105
   the future, simply run Let's Encrypt again.
106
 - If you like Let's Encrypt, please consider supporting our work by:
107
108
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
109
   Donating to EFF:                    https://eff.org/donate-le
110 7 Simone Piccardi
</pre>
111
112 1 Simone Piccardi
113
Con lo script @listlecert.sh@ si può stampare un elenco dei certificati creati, e dei domini da essi coperti.
114
115 19 Simone Piccardi
116
h3. Modifica delle informazioni di registrazione
117
118
Qualora si vogliano modificare le informazioni inserite in fase di registrazione, in particolare qualora si voglia cambiare l'email a cui il progetto invia gli avvisi in caso di mancato rinnovo e le eventuali comunicazioni sul servizio, il comando da usare è il seguente:
119
120
<pre>
121
root@gato:~/letsencrypt# ./certbot-auto register --update-registration --email nuovaemail@truelite.it 
122
Saving debug log to /var/log/letsencrypt/letsencrypt.log
123
124
-------------------------------------------------------------------------------
125
Would you be willing to share your email address with the Electronic Frontier
126
Foundation, a founding partner of the Let's Encrypt project and the non-profit
127
organization that develops Certbot? We'd like to send you email about EFF and
128
our work to encrypt the web, protect its users and defend digital rights.
129
-------------------------------------------------------------------------------
130
(Y)es/(N)o: y
131
132
IMPORTANT NOTES:
133
 - Your e-mail address was updated to nuovaemail@truelite.it.
134
</pre>
135
136 1 Simone Piccardi
h2. Configurazioni per consentire la validazione
137
138
Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL:
139
140
<pre>
141
http://mio.dominio.it/.well-known/acme-challenge/xxx
142 14 Elena Grandi
</pre>
143 1 Simone Piccardi
144 14 Elena Grandi
cosa che può dipendere dalla configurazione del proprio webserver.
145
146
h3. Nginx
147
148 1 Simone Piccardi
Nel caso di Nginx la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: 
149
150
<pre>
151
location ^~ /.well-known/acme-challenge/ {
152
    default_type "text/plain";
153
    root         /var/www/letsencrypt;
154
}
155
location = /.well-known/acme-challenge/ {
156
    return 404;
157
}
158 9 Simone Piccardi
</pre>
159 1 Simone Piccardi
160
queste istruzioni consentono di eseguire la validazione indicando come @webroot@ la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo:
161
162
<pre>
163
server {
164
        listen 80;
165
        root /var/www/html;
166
        server_name bd.truelite.it;
167
        include /etc/nginx/snippets/letsencrypt-acme-challenge.conf;
168
        location / {
169
            rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent;
170
        }       
171
}
172 14 Elena Grandi
</pre>
173
174 1 Simone Piccardi
h3. Apache
175
176
una analoga configurazione per Apache si può effettuare inserendo in @/etc/apache2/conf.d@ (o con Jessie in @/etc/apache2/conf-available/@ per poi abilitarlo con @a2enconf@) il seguente frammento di configurazione:
177 11 Simone Piccardi
178
<pre>
179 1 Simone Piccardi
Alias /.well-known/acme-challenge/ /var/www/letsencrypt/.well-known/acme-challenge/
180
<Directory "/var/www/letsencrypt/.well-known/acme-challenge/">
181
    Options None
182
    AllowOverride None
183
    ForceType text/plain
184
    # avoid access to anything not resembling a challenge
185 6 Simone Piccardi
    RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)"
186
</Directory>
187
</pre>
188
189
Si tenga presente però che quando si usa Apache come reverse proxy occorrerà anche inserire una opportuna eccezione alle regole di proxy per la suddetta URL, in sostanza si dovrà aggiungere alla configurazione del virtual host una riga:
190
191 1 Simone Piccardi
<pre>
192
ProxyPass /.well-known/acme-challenge !
193
</pre>
194
195 17 Simone Piccardi
Infine, quando si forza la redirezione su SSL delle connessioni in chiaro, occorre evitare che questo avvenga anche per le richieste di Let's Encrypt, pertanto occorrerà sostituire una eventuale direttiva di redirezione generica come la seguente:
196
197
<pre>
198
VirtualHost *:80>
199
    ServerName ci.truelite.it
200
    Redirect permanent / https://ci.truelite.it/
201
</VirtualHost>
202
</pre>
203
204
con una più specifica che escluda la redirezione per la URL utilizzata da Let's Encrypt:
205
206
<pre>
207
VirtualHost *:80>
208
    ServerName ci.truelite.it
209
    RedirectMatch 301 ^/((?!.well-known\/acme-challenge).*)$ https://ci.truelite.it/$1
210
</VirtualHost>
211
</pre>
212
213 1 Simone Piccardi
214
h2. Esempi di configurazione dei servizi
215
216 4 Simone Piccardi
Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file:
217 1 Simone Piccardi
218
| *file*    | *contenuto* |
219
|cert.pem      | cerficato |
220
|chain.pem     | catena dalla CA |
221
|fullchain.pem | catena + certificato|
222 3 Simone Piccardi
|privkey.pem   | chiave privata |
223 1 Simone Piccardi
224
Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@.
225
226 14 Elena Grandi
In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti.
227
228 1 Simone Piccardi
h3. Apache
229
230
I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è:
231 3 Simone Piccardi
232 1 Simone Piccardi
<pre>
233 3 Simone Piccardi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem
234 1 Simone Piccardi
SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem
235
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
236 14 Elena Grandi
</pre>
237
238 5 Simone Piccardi
h3. Postfix
239 1 Simone Piccardi
240 3 Simone Piccardi
Invece @fullchain.pem@ è l'insieme del certificato e di tutta la sua catena di firma, che viene richiesto da Postfix, Dovecot e Nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive:
241 1 Simone Piccardi
242
<pre>
243
smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem
244
smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem
245 14 Elena Grandi
</pre>
246
247 5 Simone Piccardi
h3. Dovecot
248 3 Simone Piccardi
249 1 Simone Piccardi
mentre per Dovecot di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive:
250
251
<pre>
252
ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem
253
ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem
254 14 Elena Grandi
</pre>
255
256 5 Simone Piccardi
h3. Nginx
257 3 Simone Piccardi
258
ed infine per Nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo:
259 5 Simone Piccardi
260 3 Simone Piccardi
<pre>
261
server {
262 1 Simone Piccardi
   listen 443 ssl;
263 3 Simone Piccardi
   server_name bd.truelite.it;
264
   root /var/www/html;
265 1 Simone Piccardi
   ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem;
266
   ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem;
267 14 Elena Grandi
   ...
268
</pre>
269 1 Simone Piccardi
270 9 Simone Piccardi
h3. ejabberd
271 1 Simone Piccardi
272
Infine per configurare ejabberd (server jabber) occorre generare dai file di Let's Encrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà rigenerarlo ogni volta che si generano o rinnovano i certificati con:
273
274
<pre>
275
cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \
276
    /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem
277
</pre>
278
279
In tutti i casi deve essere effettuato un riavvio completo dei servizi. 
280
281
282 10 Simone Piccardi
h2. Il rinnovo dei certificati
283 1 Simone Piccardi
284
La scadenza dei certificati emessi da Let's Encrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo:
285
286
<pre>
287 18 Simone Piccardi
# ./certbot-auto renew
288 1 Simone Piccardi
Checking for new version...
289
Requesting root privileges to run letsencrypt...
290
   /root/.local/share/letsencrypt/bin/letsencrypt renew
291
292
-------------------------------------------------------------------------------
293
Processing /etc/letsencrypt/renewal/mail.truelite.it.conf
294
-------------------------------------------------------------------------------
295
296
The following certs are not due for renewal yet:
297
  /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped)
298
No renewals were attempted.
299
</pre>
300
301
la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto:
302
303
<pre>
304 18 Simone Piccardi
00 23 * * 6  root /root/letsencrypt/certbot-auto renew
305 7 Simone Piccardi
</pre>
306 1 Simone Piccardi
307 18 Simone Piccardi
oppure usare lo script @le-renew@ allegato, che esegue anche il riavvio dei servizi, avendo cura di adattarlo alle proprie esigenze; in tal caso il suggerimento è di inserirlo fra quelli di  @/etc/cron.weekly@.