Progetto

Generale

Profilo

UsareLetsEncrypt » Cronologia » Versione 23

Simone Piccardi, 14-02-2017 12:30

1 9 Simone Piccardi
h1. Usare Let's Encrypt
2 1 Simone Piccardi
3 14 Elena Grandi
{{>toc}}
4
5
h2. Installazione
6
7 22 Simone Piccardi
h3. Installazione da pacchetti
8 1 Simone Piccardi
9 16 Elena Grandi
Per l'uso della nuova Certification Authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice è quello di installare i pacchetti della distribuzione, disponibili in Debian a partire da jessie-backports e stretch.
10
11 22 Simone Piccardi
Se necessario abilitare @jessie-backports@ in @sources.list@, quindi eseguire:
12 16 Elena Grandi
13 1 Simone Piccardi
<pre>
14 16 Elena Grandi
apt-get install python-certbot-apache -t jessie-backports
15 1 Simone Piccardi
</pre>
16
17 22 Simone Piccardi
h3. Installazione dal repository ufficiale
18 1 Simone Piccardi
19 22 Simone Piccardi
In alternativa, per distribuzioni più vecchie o senza disponibilità dei pacchetti già pronti, è possibile usare direttamente la versione distribuita tramite il repository ufficiale, ottenibile con @git@ (che dovrà essere installato a sua volta se non presente) eseguendo:
20 16 Elena Grandi
21 1 Simone Piccardi
<pre>
22 16 Elena Grandi
git clone https://github.com/certbot/certbot
23 1 Simone Piccardi
</pre>
24 11 Simone Piccardi
25 22 Simone Piccardi
Per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è clonato il repository ufficiale e per fargli installare gli eventuali pacchetti mancanti si dovrà eseguire (da root):
26 1 Simone Piccardi
27
<pre>
28 16 Elena Grandi
cd certbot
29
./certbot-auto --help
30 11 Simone Piccardi
</pre>
31 1 Simone Piccardi
32 22 Simone Piccardi
Il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile.
33 16 Elena Grandi
34 22 Simone Piccardi
Le modalità di utilizzo in questa forma completamente automatizzata dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Nel prosieguo tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica.
35 1 Simone Piccardi
36 22 Simone Piccardi
h3. Note storiche
37 16 Elena Grandi
38 22 Simone Piccardi
Le vecchie versioni del programma avevano come nome @letsencrypt@ anziché @certbot@; il funzionamento del comando, a parte alcune opzioni aggiuntive introdotte in un secondo tempo, è lo stesso per tutte le operazioni di base (come creazione e aggiornamento dei certificati), ma si ottiene usando il comando @letsencrypt-auto@ anziché @certbot-auto@.
39 16 Elena Grandi
40 22 Simone Piccardi
41 14 Elena Grandi
h2. La generazione dei certificati
42
43 3 Simone Piccardi
h3. Creazione del primo certificato
44 1 Simone Piccardi
45 22 Simone Piccardi
In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del comando @certonly@, come indicato anche dal programma stesso se questi rileva che l'automatismo è impossibile:
46 1 Simone Piccardi
47
<pre>
48 16 Elena Grandi
root@holland:~/certbot# ./certbot-auto
49 1 Simone Piccardi
Checking for new version...
50
Requesting root privileges to run letsencrypt...
51
   /root/.local/share/letsencrypt/bin/letsencrypt
52
   No installers seem to be present and working on your system; fix that or try running letsencrypt with the "certonly" command
53
</pre>
54
55 22 Simone Piccardi
L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato Let's Encrypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di _challenge and response_ basato sulla possibilità di scaricare un file dal quel dominio.
56 1 Simone Piccardi
57 22 Simone Piccardi
Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare Apache o qualunque altro webserver che sia attivo sul dominio.
58 1 Simone Piccardi
59 23 Simone Piccardi
Si può evitare tutto questo utilizzando l'opzione @--webroot@ (o @-w@) se è disponibile l'accesso via web alla _document root_ del sito per cui si vuole ottenere il certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @.well-known/acme-challenge/@, che però deve poter essere servita a chi la richiede da fuori; occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, ed è in genere necessaria un configurazione ad hoc.
60 1 Simone Piccardi
61 22 Simone Piccardi
In questo caso deve essere indicata nella richiesta come argomento dell'opzione @-w@ la directory della _document root_, mentre il dominio (o i domini, se sono più di uno, nel qual caso saranno aggiunti allo stesso certificato come nomi alternativi) devono essere richiesti con l'opzione @-d@. 
62 1 Simone Piccardi
63 22 Simone Piccardi
Se si hanno diversi siti con diverse _document root_ in teoria si può eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicare la prima _document root_ e poi l'opzione @-d@ per indicare relativo dominio, e così via per i successivi. Il comando infatti assume per ciascun dominio indicato con @-d@ si stia usando la directory indicata con l'ultima occorrenza precedente di @-w@. In questo caso tutte le _document root_ dovranno essere egualmente accessibili. Alternativamente si potrà ripetere l'operazione separatamente per ciascun dominio. Si tenga presente che in questo caso saranno generati altrettanti certificati separati.
64
65 23 Simone Piccardi
Siccome tutto questo risulta scomodo e non è sempre applicabile, è possibile usare una unica directory per tutti i domini, anche se questa non corrisponde alla loro _document root_, consentendo l'accesso via web alla stessa in maniera generica (vedremo come farlo con le configurazioni descritte in seguito). Questa è anche la modalità consigliata dal progetto, assumeremo pertanto che si stia usando una configurazione adeguata e che la directory utilizzata per ospitare i file della _challenge and response_ di @.well-known/acme-challenge@ sia @/var/www/letsencrypt/@.
66 22 Simone Piccardi
67
Se pertanto si vuole ottenere il certificato per il dominio @mail.truelite.it@ il comando da usare sarà:
68
69 16 Elena Grandi
<pre>
70 1 Simone Piccardi
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it
71
[...]
72
IMPORTANT NOTES:
73
 - Congratulations! Your certificate and chain have been saved at
74
   /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will
75
   expire on 2016-07-07. To obtain a new version of the certificate in
76
   the future, simply run Let's Encrypt again.
77
 - If you lose your account credentials, you can recover through
78
   e-mails sent to xxx@truelite.it.
79
 - Your account credentials have been saved in your Let's Encrypt
80
   configuration directory at /etc/letsencrypt. You should make a
81
   secure backup of this folder now. This configuration directory will
82
   also contain certificates and private keys obtained by Let's
83
   Encrypt so making regular backups of this folder is ideal.
84
 - If you like Let's Encrypt, please consider supporting our work by:
85
86
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
87
   Donating to EFF:                    https://eff.org/donate-le
88
</pre>
89
90 22 Simone Piccardi
La prima volta che lo si esegue su per un dominio verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e la prima volta che lo si esegue su una macchina si dovranno anche accettare le condizioni di Let's Encrypt. Questo comando creerà un certificato per il solo dominio @mail.truelite.it@; se un certificato deve essere valido per più domini, si possono salvare in un file, nell'esempio @valid_hosts.txt@ (un dominio per riga) ed usare il comando:
91 1 Simone Piccardi
92
<pre>
93
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d $(xargs < valid_hosts.txt | sed 's/ /,/g')
94 12 Elena Grandi
</pre>
95 1 Simone Piccardi
96 22 Simone Piccardi
oppure lo si può invocare nella forma:
97 12 Elena Grandi
98 22 Simone Piccardi
<pre>
99
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it -d smtp.truelite.it ...
100
</pre>
101
102
I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato per primo (se sono più di uno); nel caso saranno sotto @/etc/letsencrypt/live/mail.truelite.it/@.
103
104
105 21 Simone Piccardi
h3. Aggiunta di nuovi certificati distinti
106 1 Simone Piccardi
107 22 Simone Piccardi
Se si utilizza SNI, e si vogliono avere certificati distinti per domini distinti, basterà ripetere il comando per ciascuno di essi. Ogni invocazione successiva con nomi a dominio diversi si limiterà a creare i certificati richiesti in maniera distinta, pertanto con qualcosa del tipo:
108 1 Simone Piccardi
109
<pre>
110 16 Elena Grandi
# ./certbot-auto certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it 
111 1 Simone Piccardi
Checking for new version...
112
Requesting root privileges to run letsencrypt...
113
   /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it
114
115
IMPORTANT NOTES:
116
 - Congratulations! Your certificate and chain have been saved at
117
   /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will
118
   expire on 2016-07-07. To obtain a new version of the certificate in
119
   the future, simply run Let's Encrypt again.
120
 - If you like Let's Encrypt, please consider supporting our work by:
121
122
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
123
   Donating to EFF:                    https://eff.org/donate-le
124
</pre>
125
126 22 Simone Piccardi
Si otterrà un'altro certificato, posto stavolta sotto @/etc/letsencrypt/live/bd2.truelite.it@. 
127 1 Simone Piccardi
128 22 Simone Piccardi
Con lo script @listlecert.sh@ allegato si può stampare un elenco dei certificati creati, e dei domini da essi coperti.
129 1 Simone Piccardi
130
131 22 Simone Piccardi
h2. Gestione dei certificati
132
133
h3. Aggiunta di un nuovo dominio ad un certificato esistente
134
135
Qualora si voglia aggiungere un nuovo dominio ad un certificato esistente basterà ripetere l'invocazione del comando aggiungendo il nuovo dominio con una ulteriore opzione @-d@, ad esempio:
136
137
<pre>
138
# ./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it -d rainloop.truelite.it
139
Saving debug log to /var/log/letsencrypt/letsencrypt.log
140
141
-------------------------------------------------------------------------------
142
You have an existing certificate that contains a portion of the domains you
143
requested (ref: /etc/letsencrypt/renewal/mail.truelite.it.conf)
144
145
It contains these names: mail.truelite.it
146
147
You requested these names for the new certificate: mail.truelite.it,
148
rainloop.truelite.it.
149
150
Do you want to expand and replace this existing certificate with the new
151
certificate?
152
-------------------------------------------------------------------------------
153
(E)xpand/(C)ancel: E
154
Renewing an existing certificate
155
...
156
</pre>
157
158
In questo caso verrà chiesto se espandere il certificato presente, e scegliendo il default (E) questo verrà aggiunto. Si tenga presente che perché l'espansione funzioni occorre indicare nella richiesta tutti i domini già presenti nel certificato corrente, altrimenti verrà creata una versione alternativa (e distinta) con solo quelli elencati.
159
160
h3. Rimozione di certificati non più raggiungibili
161
162
Nel caso si siano richiesti certificati con più nomi di dominio e alcuni di questi non fossero più verificabili (in quanto non più raggiungibili, o spostati su altra macchina) si riceverà un errore in fase di rinnovo. È possibile ovviare al problema usando l'opzione @--allow-subset-of-names@ per rinnovare un certificato valido solo per il sottoinsieme di domini ancora verificabili:
163
164
<pre>
165
# ./certbot-auto renew --allow-subset-of-names
166
</pre>
167
168
tutti i domini non verificati verranno quindi rimossi dal certificato, e i rinnovi successivi andranno a buon fine anche senza tale opzione.
169
170
Ovviamente, si deve avere cura di non lanciare questo comando in caso di non raggiungibilità _temporanea_ di alcuni dei domini, ed è quindi opportuno non usare questa opzione in contesti automatizzati.
171
172 19 Simone Piccardi
h3. Modifica delle informazioni di registrazione
173
174
Qualora si vogliano modificare le informazioni inserite in fase di registrazione, in particolare qualora si voglia cambiare l'email a cui il progetto invia gli avvisi in caso di mancato rinnovo e le eventuali comunicazioni sul servizio, il comando da usare è il seguente:
175
176
<pre>
177
root@gato:~/letsencrypt# ./certbot-auto register --update-registration --email nuovaemail@truelite.it 
178
Saving debug log to /var/log/letsencrypt/letsencrypt.log
179
180
-------------------------------------------------------------------------------
181
Would you be willing to share your email address with the Electronic Frontier
182
Foundation, a founding partner of the Let's Encrypt project and the non-profit
183
organization that develops Certbot? We'd like to send you email about EFF and
184
our work to encrypt the web, protect its users and defend digital rights.
185
-------------------------------------------------------------------------------
186
(Y)es/(N)o: y
187
188
IMPORTANT NOTES:
189 1 Simone Piccardi
 - Your e-mail address was updated to nuovaemail@truelite.it.
190 19 Simone Piccardi
</pre>
191 23 Simone Piccardi
192 19 Simone Piccardi
193 1 Simone Piccardi
h2. Configurazioni per consentire la validazione
194
195
Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL:
196
197
<pre>
198
http://mio.dominio.it/.well-known/acme-challenge/xxx
199 14 Elena Grandi
</pre>
200 1 Simone Piccardi
201 14 Elena Grandi
cosa che può dipendere dalla configurazione del proprio webserver.
202
203
h3. Nginx
204
205 1 Simone Piccardi
Nel caso di Nginx la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: 
206
207
<pre>
208
location ^~ /.well-known/acme-challenge/ {
209
    default_type "text/plain";
210
    root         /var/www/letsencrypt;
211
}
212
location = /.well-known/acme-challenge/ {
213
    return 404;
214
}
215 9 Simone Piccardi
</pre>
216 1 Simone Piccardi
217
queste istruzioni consentono di eseguire la validazione indicando come @webroot@ la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo:
218
219
<pre>
220
server {
221
        listen 80;
222
        root /var/www/html;
223
        server_name bd.truelite.it;
224
        include /etc/nginx/snippets/letsencrypt-acme-challenge.conf;
225
        location / {
226
            rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent;
227
        }       
228
}
229 14 Elena Grandi
</pre>
230
231 1 Simone Piccardi
h3. Apache
232
233
una analoga configurazione per Apache si può effettuare inserendo in @/etc/apache2/conf.d@ (o con Jessie in @/etc/apache2/conf-available/@ per poi abilitarlo con @a2enconf@) il seguente frammento di configurazione:
234 11 Simone Piccardi
235
<pre>
236 1 Simone Piccardi
Alias /.well-known/acme-challenge/ /var/www/letsencrypt/.well-known/acme-challenge/
237
<Directory "/var/www/letsencrypt/.well-known/acme-challenge/">
238
    Options None
239
    AllowOverride None
240
    ForceType text/plain
241
    # avoid access to anything not resembling a challenge
242 6 Simone Piccardi
    RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)"
243
</Directory>
244
</pre>
245
246
Si tenga presente però che quando si usa Apache come reverse proxy occorrerà anche inserire una opportuna eccezione alle regole di proxy per la suddetta URL, in sostanza si dovrà aggiungere alla configurazione del virtual host una riga:
247
248 1 Simone Piccardi
<pre>
249
ProxyPass /.well-known/acme-challenge !
250
</pre>
251
252 17 Simone Piccardi
Infine, quando si forza la redirezione su SSL delle connessioni in chiaro, occorre evitare che questo avvenga anche per le richieste di Let's Encrypt, pertanto occorrerà sostituire una eventuale direttiva di redirezione generica come la seguente:
253
254
<pre>
255
VirtualHost *:80>
256
    ServerName ci.truelite.it
257
    Redirect permanent / https://ci.truelite.it/
258
</VirtualHost>
259
</pre>
260
261
con una più specifica che escluda la redirezione per la URL utilizzata da Let's Encrypt:
262
263
<pre>
264
VirtualHost *:80>
265
    ServerName ci.truelite.it
266
    RedirectMatch 301 ^/((?!.well-known\/acme-challenge).*)$ https://ci.truelite.it/$1
267
</VirtualHost>
268
</pre>
269
270 1 Simone Piccardi
271
h2. Esempi di configurazione dei servizi
272
273 4 Simone Piccardi
Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file:
274 1 Simone Piccardi
275
| *file*    | *contenuto* |
276
|cert.pem      | cerficato |
277
|chain.pem     | catena dalla CA |
278
|fullchain.pem | catena + certificato|
279 3 Simone Piccardi
|privkey.pem   | chiave privata |
280 1 Simone Piccardi
281
Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@.
282
283 14 Elena Grandi
In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti.
284
285 1 Simone Piccardi
h3. Apache
286
287
I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è:
288 3 Simone Piccardi
289 1 Simone Piccardi
<pre>
290 14 Elena Grandi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem
291
SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem
292 5 Simone Piccardi
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
293 3 Simone Piccardi
</pre>
294 1 Simone Piccardi
295
h3. Postfix
296
297
Invece @fullchain.pem@ è l'insieme del certificato e di tutta la sua catena di firma, che viene richiesto da Postfix, Dovecot e Nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive:
298
299 14 Elena Grandi
<pre>
300
smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem
301 5 Simone Piccardi
smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem
302 3 Simone Piccardi
</pre>
303
304 5 Simone Piccardi
h3. Dovecot
305 3 Simone Piccardi
306
mentre per Dovecot di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive:
307 1 Simone Piccardi
308 3 Simone Piccardi
<pre>
309
ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem
310 1 Simone Piccardi
ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem
311
</pre>
312 14 Elena Grandi
313
h3. Nginx
314 1 Simone Piccardi
315 9 Simone Piccardi
ed infine per Nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo:
316 1 Simone Piccardi
317
<pre>
318
server {
319
   listen 443 ssl;
320
   server_name bd.truelite.it;
321
   root /var/www/html;
322
   ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem;
323
   ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem;
324 20 Elena Grandi
   ...
325 1 Simone Piccardi
</pre>
326 10 Simone Piccardi
327 1 Simone Piccardi
h3. ejabberd
328
329
Infine per configurare ejabberd (server jabber) occorre generare dai file di Let's Encrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà rigenerarlo ogni volta che si generano o rinnovano i certificati con:
330
331 18 Simone Piccardi
<pre>
332 1 Simone Piccardi
cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \
333
    /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem
334
</pre>
335
336
In tutti i casi deve essere effettuato un riavvio completo dei servizi.
337
338
h2. Il rinnovo dei certificati
339
340
La scadenza dei certificati emessi da Let's Encrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo:
341
342
<pre>
343
# ./certbot-auto renew
344
Checking for new version...
345
Requesting root privileges to run letsencrypt...
346
   /root/.local/share/letsencrypt/bin/letsencrypt renew
347
348 18 Simone Piccardi
-------------------------------------------------------------------------------
349 7 Simone Piccardi
Processing /etc/letsencrypt/renewal/mail.truelite.it.conf
350 1 Simone Piccardi
-------------------------------------------------------------------------------
351
352 20 Elena Grandi
The following certs are not due for renewal yet:
353
  /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped)
354
No renewals were attempted.
355
</pre>
356
357
la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto:
358
359
<pre>
360
00 23 * * 6  root /root/letsencrypt/certbot-auto renew
361
</pre>
362
363
oppure usare lo script @le-renew@ allegato, che esegue anche il riavvio dei servizi, avendo cura di adattarlo alle proprie esigenze; in tal caso il suggerimento è di inserirlo fra quelli di  @/etc/cron.weekly@.