Project

General

Profile

UsareLetsEncrypt » History » Version 34

Simone Piccardi, 07/12/2019 01:39 PM

1 9 Simone Piccardi
h1. Usare Let's Encrypt
2 1 Simone Piccardi
3 14 Elena Grandi
{{>toc}}
4 14 Elena Grandi
5 14 Elena Grandi
h2. Installazione
6 14 Elena Grandi
7 22 Simone Piccardi
h3. Installazione da pacchetti
8 1 Simone Piccardi
9 32 Simone Piccardi
Per l'uso della nuova Certification Authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice è quello di installare i pacchetti della distribuzione, disponibili in Debian a partire da Jessie (nei backports) e direttamente con Stretch. Pertanto se necessario occorrerà abilitare @jessie-backports@ in @sources.list@, quindi eseguire:
10 16 Elena Grandi
11 1 Simone Piccardi
<pre>
12 1 Simone Piccardi
apt-get install python-certbot-apache -t jessie-backports
13 1 Simone Piccardi
</pre>
14 1 Simone Piccardi
15 32 Simone Piccardi
mentre con Stretch sarà sufficiente:
16 32 Simone Piccardi
17 32 Simone Piccardi
<pre>
18 32 Simone Piccardi
apt-get install certbot
19 32 Simone Piccardi
</pre>
20 32 Simone Piccardi
21 24 Simone Piccardi
questo renderà disponibile il comando @certbot@. 
22 24 Simone Piccardi
23 22 Simone Piccardi
h3. Installazione dal repository ufficiale
24 1 Simone Piccardi
25 22 Simone Piccardi
In alternativa, per distribuzioni più vecchie o senza disponibilità dei pacchetti già pronti, è possibile usare direttamente la versione distribuita tramite il repository ufficiale, ottenibile con @git@ (che dovrà essere installato a sua volta se non presente) eseguendo:
26 16 Elena Grandi
27 1 Simone Piccardi
<pre>
28 16 Elena Grandi
git clone https://github.com/certbot/certbot
29 1 Simone Piccardi
</pre>
30 11 Simone Piccardi
31 22 Simone Piccardi
Per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è clonato il repository ufficiale e per fargli installare gli eventuali pacchetti mancanti si dovrà eseguire (da root):
32 1 Simone Piccardi
33 1 Simone Piccardi
<pre>
34 16 Elena Grandi
cd certbot
35 16 Elena Grandi
./certbot-auto --help
36 11 Simone Piccardi
</pre>
37 1 Simone Piccardi
38 22 Simone Piccardi
Il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile.
39 16 Elena Grandi
40 22 Simone Piccardi
Le modalità di utilizzo in questa forma completamente automatizzata dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Nel prosieguo tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica.
41 1 Simone Piccardi
42 16 Elena Grandi
h3. Note storiche
43 1 Simone Piccardi
44 24 Simone Piccardi
Le vecchie versioni del programma avevano come nome @letsencrypt@ anziché @certbot@; il funzionamento del comando, a parte alcune opzioni aggiuntive introdotte in un secondo tempo, è lo stesso per tutte le operazioni di base (come creazione e aggiornamento dei certificati), ma si ottiene usando @letsencrypt-auto@ anziché @certbot-auto@ (nei sorgenti comunque viene fornito anche @letsencrypt-auto@ come copia di @certbot-auto@). Negli esempi seguenti useremo l'invocazione assumendo una installazione da pacchetto e la presenza del comando @certbot@.
45 16 Elena Grandi
46 22 Simone Piccardi
47 14 Elena Grandi
h2. La generazione dei certificati
48 3 Simone Piccardi
49 1 Simone Piccardi
h3. Creazione del primo certificato
50 1 Simone Piccardi
51 24 Simone Piccardi
In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del sottocomando @certonly@, come indicato anche dal programma stesso se questi rileva che l'automatismo è impossibile:
52 1 Simone Piccardi
53 1 Simone Piccardi
<pre>
54 16 Elena Grandi
root@holland:~/certbot# ./certbot-auto
55 1 Simone Piccardi
Checking for new version...
56 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
57 1 Simone Piccardi
   /root/.local/share/letsencrypt/bin/letsencrypt
58 1 Simone Piccardi
   No installers seem to be present and working on your system; fix that or try running letsencrypt with the "certonly" command
59 1 Simone Piccardi
</pre>
60 1 Simone Piccardi
61 22 Simone Piccardi
L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato Let's Encrypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di _challenge and response_ basato sulla possibilità di scaricare un file dal quel dominio.
62 1 Simone Piccardi
63 22 Simone Piccardi
Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare Apache o qualunque altro webserver che sia attivo sul dominio.
64 1 Simone Piccardi
65 23 Simone Piccardi
Si può evitare tutto questo utilizzando l'opzione @--webroot@ (o @-w@) se è disponibile l'accesso via web alla _document root_ del sito per cui si vuole ottenere il certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @.well-known/acme-challenge/@, che però deve poter essere servita a chi la richiede da fuori; occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, ed è in genere necessaria un configurazione ad hoc.
66 1 Simone Piccardi
67 22 Simone Piccardi
In questo caso deve essere indicata nella richiesta come argomento dell'opzione @-w@ la directory della _document root_, mentre il dominio (o i domini, se sono più di uno, nel qual caso saranno aggiunti allo stesso certificato come nomi alternativi) devono essere richiesti con l'opzione @-d@. 
68 1 Simone Piccardi
69 22 Simone Piccardi
Se si hanno diversi siti con diverse _document root_ in teoria si può eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicare la prima _document root_ e poi l'opzione @-d@ per indicare relativo dominio, e così via per i successivi. Il comando infatti assume per ciascun dominio indicato con @-d@ si stia usando la directory indicata con l'ultima occorrenza precedente di @-w@. In questo caso tutte le _document root_ dovranno essere egualmente accessibili. Alternativamente si potrà ripetere l'operazione separatamente per ciascun dominio. Si tenga presente che in questo caso saranno generati altrettanti certificati separati.
70 22 Simone Piccardi
71 23 Simone Piccardi
Siccome tutto questo risulta scomodo e non è sempre applicabile, è possibile usare una unica directory per tutti i domini, anche se questa non corrisponde alla loro _document root_, consentendo l'accesso via web alla stessa in maniera generica (vedremo come farlo con le configurazioni descritte in seguito). Questa è anche la modalità consigliata dal progetto, assumeremo pertanto che si stia usando una configurazione adeguata e che la directory utilizzata per ospitare i file della _challenge and response_ di @.well-known/acme-challenge@ sia @/var/www/letsencrypt/@.
72 22 Simone Piccardi
73 1 Simone Piccardi
Se pertanto si vuole ottenere il certificato per il dominio @mail.truelite.it@ il comando da usare sarà:
74 22 Simone Piccardi
75 16 Elena Grandi
<pre>
76 24 Simone Piccardi
# certbot certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it
77 1 Simone Piccardi
[...]
78 1 Simone Piccardi
IMPORTANT NOTES:
79 1 Simone Piccardi
 - Congratulations! Your certificate and chain have been saved at
80 1 Simone Piccardi
   /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will
81 1 Simone Piccardi
   expire on 2016-07-07. To obtain a new version of the certificate in
82 1 Simone Piccardi
   the future, simply run Let's Encrypt again.
83 1 Simone Piccardi
 - If you lose your account credentials, you can recover through
84 1 Simone Piccardi
   e-mails sent to xxx@truelite.it.
85 1 Simone Piccardi
 - Your account credentials have been saved in your Let's Encrypt
86 1 Simone Piccardi
   configuration directory at /etc/letsencrypt. You should make a
87 1 Simone Piccardi
   secure backup of this folder now. This configuration directory will
88 1 Simone Piccardi
   also contain certificates and private keys obtained by Let's
89 1 Simone Piccardi
   Encrypt so making regular backups of this folder is ideal.
90 1 Simone Piccardi
 - If you like Let's Encrypt, please consider supporting our work by:
91 1 Simone Piccardi
92 1 Simone Piccardi
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
93 1 Simone Piccardi
   Donating to EFF:                    https://eff.org/donate-le
94 1 Simone Piccardi
</pre>
95 1 Simone Piccardi
96 22 Simone Piccardi
La prima volta che lo si esegue su per un dominio verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e la prima volta che lo si esegue su una macchina si dovranno anche accettare le condizioni di Let's Encrypt. Questo comando creerà un certificato per il solo dominio @mail.truelite.it@; se un certificato deve essere valido per più domini, si possono salvare in un file, nell'esempio @valid_hosts.txt@ (un dominio per riga) ed usare il comando:
97 1 Simone Piccardi
98 1 Simone Piccardi
<pre>
99 24 Simone Piccardi
# certbot certonly --webroot -w /var/www/letsencrypt/ -d $(xargs < valid_hosts.txt | sed 's/ /,/g')
100 1 Simone Piccardi
</pre>
101 1 Simone Piccardi
102 22 Simone Piccardi
oppure lo si può invocare nella forma:
103 12 Elena Grandi
104 22 Simone Piccardi
<pre>
105 24 Simone Piccardi
# certbot certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it -d smtp.truelite.it ...
106 22 Simone Piccardi
</pre>
107 22 Simone Piccardi
108 22 Simone Piccardi
I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato per primo (se sono più di uno); nel caso saranno sotto @/etc/letsencrypt/live/mail.truelite.it/@.
109 1 Simone Piccardi
110 1 Simone Piccardi
111 21 Simone Piccardi
h3. Aggiunta di nuovi certificati distinti
112 1 Simone Piccardi
113 32 Simone Piccardi
Se si utilizza SNI (oggi utilizzabile con tutti i browser, ma non utilizzabile con servizi diversi dal web), e si vogliono avere certificati distinti per domini distinti, basterà ripetere il comando per ciascuno di essi. Ogni invocazione successiva con nomi a dominio diversi si limiterà a creare i certificati richiesti in maniera distinta, pertanto con qualcosa del tipo:
114 1 Simone Piccardi
115 1 Simone Piccardi
<pre>
116 24 Simone Piccardi
# certbot certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it 
117 1 Simone Piccardi
Checking for new version...
118 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
119 1 Simone Piccardi
   /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it
120 1 Simone Piccardi
121 1 Simone Piccardi
IMPORTANT NOTES:
122 1 Simone Piccardi
 - Congratulations! Your certificate and chain have been saved at
123 1 Simone Piccardi
   /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will
124 1 Simone Piccardi
   expire on 2016-07-07. To obtain a new version of the certificate in
125 1 Simone Piccardi
   the future, simply run Let's Encrypt again.
126 1 Simone Piccardi
 - If you like Let's Encrypt, please consider supporting our work by:
127 1 Simone Piccardi
128 1 Simone Piccardi
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
129 1 Simone Piccardi
   Donating to EFF:                    https://eff.org/donate-le
130 1 Simone Piccardi
</pre>
131 1 Simone Piccardi
132 22 Simone Piccardi
Si otterrà un'altro certificato, posto stavolta sotto @/etc/letsencrypt/live/bd2.truelite.it@. 
133 1 Simone Piccardi
134 31 Simone Piccardi
Con lo script @listlecert.sh@ allegato si può stampare un elenco dei certificati creati, e dei domini da essi coperti, ma le versioni correnti di @certbot@ supportano l'uso del comando @certbot certificates@ che stampa un elenco con tutti i dettagli comprese le data di scadenza ed i pathname dei file.
135 1 Simone Piccardi
136 22 Simone Piccardi
137 1 Simone Piccardi
h2. Gestione dei certificati
138 22 Simone Piccardi
139 22 Simone Piccardi
h3. Aggiunta di un nuovo dominio ad un certificato esistente
140 22 Simone Piccardi
141 22 Simone Piccardi
Qualora si voglia aggiungere un nuovo dominio ad un certificato esistente basterà ripetere l'invocazione del comando aggiungendo il nuovo dominio con una ulteriore opzione @-d@, ad esempio:
142 22 Simone Piccardi
143 22 Simone Piccardi
<pre>
144 24 Simone Piccardi
# certbot certonly --webroot -w /var/www/letsencrypt/ -d mail.truelite.it -d rainloop.truelite.it
145 22 Simone Piccardi
Saving debug log to /var/log/letsencrypt/letsencrypt.log
146 22 Simone Piccardi
147 22 Simone Piccardi
-------------------------------------------------------------------------------
148 22 Simone Piccardi
You have an existing certificate that contains a portion of the domains you
149 22 Simone Piccardi
requested (ref: /etc/letsencrypt/renewal/mail.truelite.it.conf)
150 22 Simone Piccardi
151 22 Simone Piccardi
It contains these names: mail.truelite.it
152 22 Simone Piccardi
153 22 Simone Piccardi
You requested these names for the new certificate: mail.truelite.it,
154 22 Simone Piccardi
rainloop.truelite.it.
155 22 Simone Piccardi
156 22 Simone Piccardi
Do you want to expand and replace this existing certificate with the new
157 22 Simone Piccardi
certificate?
158 22 Simone Piccardi
-------------------------------------------------------------------------------
159 22 Simone Piccardi
(E)xpand/(C)ancel: E
160 22 Simone Piccardi
Renewing an existing certificate
161 22 Simone Piccardi
...
162 22 Simone Piccardi
</pre>
163 1 Simone Piccardi
164 22 Simone Piccardi
In questo caso verrà chiesto se espandere il certificato presente, e scegliendo il default (E) questo verrà aggiunto. Si tenga presente che perché l'espansione funzioni occorre indicare nella richiesta tutti i domini già presenti nel certificato corrente, altrimenti verrà creata una versione alternativa (e distinta) con solo quelli elencati.
165 22 Simone Piccardi
166 22 Simone Piccardi
h3. Rimozione di certificati non più raggiungibili
167 22 Simone Piccardi
168 22 Simone Piccardi
Nel caso si siano richiesti certificati con più nomi di dominio e alcuni di questi non fossero più verificabili (in quanto non più raggiungibili, o spostati su altra macchina) si riceverà un errore in fase di rinnovo. È possibile ovviare al problema usando l'opzione @--allow-subset-of-names@ per rinnovare un certificato valido solo per il sottoinsieme di domini ancora verificabili:
169 22 Simone Piccardi
170 22 Simone Piccardi
<pre>
171 24 Simone Piccardi
# certbot renew --allow-subset-of-names
172 22 Simone Piccardi
</pre>
173 22 Simone Piccardi
174 1 Simone Piccardi
tutti i domini non verificati verranno quindi rimossi dal certificato, e i rinnovi successivi andranno a buon fine anche senza tale opzione.
175 22 Simone Piccardi
176 22 Simone Piccardi
Ovviamente, si deve avere cura di non lanciare questo comando in caso di non raggiungibilità _temporanea_ di alcuni dei domini, ed è quindi opportuno non usare questa opzione in contesti automatizzati.
177 22 Simone Piccardi
178 34 Simone Piccardi
h3. Cancellazione di un certificato
179 34 Simone Piccardi
180 34 Simone Piccardi
Qualora si voglia eliminare un certificato, ad esempio perché il nome principale con cui lo si è creato non è più in uso, occorre usare il comando @cerbot delete@ e selezionare dalla lista se sono più di uno, o eventualmente indicare il nome con l'opzione @--cert-name@.
181 34 Simone Piccardi
182 19 Simone Piccardi
h3. Modifica delle informazioni di registrazione
183 19 Simone Piccardi
184 19 Simone Piccardi
Qualora si vogliano modificare le informazioni inserite in fase di registrazione, in particolare qualora si voglia cambiare l'email a cui il progetto invia gli avvisi in caso di mancato rinnovo e le eventuali comunicazioni sul servizio, il comando da usare è il seguente:
185 19 Simone Piccardi
186 19 Simone Piccardi
<pre>
187 24 Simone Piccardi
# certbot register --update-registration --email nuovaemail@truelite.it 
188 19 Simone Piccardi
Saving debug log to /var/log/letsencrypt/letsencrypt.log
189 19 Simone Piccardi
190 19 Simone Piccardi
-------------------------------------------------------------------------------
191 19 Simone Piccardi
Would you be willing to share your email address with the Electronic Frontier
192 19 Simone Piccardi
Foundation, a founding partner of the Let's Encrypt project and the non-profit
193 19 Simone Piccardi
organization that develops Certbot? We'd like to send you email about EFF and
194 19 Simone Piccardi
our work to encrypt the web, protect its users and defend digital rights.
195 19 Simone Piccardi
-------------------------------------------------------------------------------
196 19 Simone Piccardi
(Y)es/(N)o: y
197 19 Simone Piccardi
198 19 Simone Piccardi
IMPORTANT NOTES:
199 1 Simone Piccardi
 - Your e-mail address was updated to nuovaemail@truelite.it.
200 19 Simone Piccardi
</pre>
201 23 Simone Piccardi
202 19 Simone Piccardi
203 1 Simone Piccardi
h2. Configurazioni per consentire la validazione
204 1 Simone Piccardi
205 1 Simone Piccardi
Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL:
206 1 Simone Piccardi
207 1 Simone Piccardi
<pre>
208 1 Simone Piccardi
http://mio.dominio.it/.well-known/acme-challenge/xxx
209 14 Elena Grandi
</pre>
210 1 Simone Piccardi
211 14 Elena Grandi
cosa che può dipendere dalla configurazione del proprio webserver.
212 14 Elena Grandi
213 14 Elena Grandi
h3. Nginx
214 14 Elena Grandi
215 1 Simone Piccardi
Nel caso di Nginx la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: 
216 1 Simone Piccardi
217 1 Simone Piccardi
<pre>
218 1 Simone Piccardi
location ^~ /.well-known/acme-challenge/ {
219 1 Simone Piccardi
    default_type "text/plain";
220 1 Simone Piccardi
    root         /var/www/letsencrypt;
221 1 Simone Piccardi
}
222 1 Simone Piccardi
location = /.well-known/acme-challenge/ {
223 1 Simone Piccardi
    return 404;
224 1 Simone Piccardi
}
225 9 Simone Piccardi
</pre>
226 1 Simone Piccardi
227 1 Simone Piccardi
queste istruzioni consentono di eseguire la validazione indicando come @webroot@ la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo:
228 1 Simone Piccardi
229 1 Simone Piccardi
<pre>
230 1 Simone Piccardi
server {
231 1 Simone Piccardi
        listen 80;
232 1 Simone Piccardi
        root /var/www/html;
233 1 Simone Piccardi
        server_name bd.truelite.it;
234 1 Simone Piccardi
        include /etc/nginx/snippets/letsencrypt-acme-challenge.conf;
235 1 Simone Piccardi
        location / {
236 1 Simone Piccardi
            rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent;
237 1 Simone Piccardi
        }       
238 1 Simone Piccardi
}
239 14 Elena Grandi
</pre>
240 14 Elena Grandi
241 1 Simone Piccardi
h3. Apache
242 1 Simone Piccardi
243 32 Simone Piccardi
Una analoga configurazione per Apache si può effettuare utilizzando il seguente frammento di configurazione:
244 11 Simone Piccardi
245 11 Simone Piccardi
<pre>
246 1 Simone Piccardi
Alias /.well-known/acme-challenge/ /var/www/letsencrypt/.well-known/acme-challenge/
247 1 Simone Piccardi
<Directory "/var/www/letsencrypt/.well-known/acme-challenge/">
248 1 Simone Piccardi
    Options None
249 1 Simone Piccardi
    AllowOverride None
250 1 Simone Piccardi
    ForceType text/plain
251 1 Simone Piccardi
    # avoid access to anything not resembling a challenge
252 1 Simone Piccardi
    RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)"
253 1 Simone Piccardi
</Directory>
254 6 Simone Piccardi
</pre>
255 6 Simone Piccardi
256 33 Simone Piccardi
Con Debian da Jessie in poi lo si può inserire in  @/etc/apache2/conf-available/@ ed abilitare con @a2enconf@, con le versioni precedenti occorreva usare @/etc/apache2/conf.d@, per altre distribuzioni si utilizzi una posizione adeguata e lo si includa nella configurazione generale di Apache.
257 32 Simone Piccardi
258 32 Simone Piccardi
Si tenga presente però che qualora si usi Apache come reverse proxy occorrerà anche inserire una opportuna eccezione alle regole di proxy per la suddetta URL, in sostanza si dovrà aggiungere alla configurazione del virtual host una riga:
259 6 Simone Piccardi
260 1 Simone Piccardi
<pre>
261 1 Simone Piccardi
ProxyPass /.well-known/acme-challenge !
262 1 Simone Piccardi
</pre>
263 1 Simone Piccardi
264 17 Simone Piccardi
Infine, quando si forza la redirezione su SSL delle connessioni in chiaro, occorre evitare che questo avvenga anche per le richieste di Let's Encrypt, pertanto occorrerà sostituire una eventuale direttiva di redirezione generica come la seguente:
265 17 Simone Piccardi
266 17 Simone Piccardi
<pre>
267 26 Simone Piccardi
<VirtualHost *:80>
268 17 Simone Piccardi
    ServerName ci.truelite.it
269 17 Simone Piccardi
    Redirect permanent / https://ci.truelite.it/
270 17 Simone Piccardi
</VirtualHost>
271 17 Simone Piccardi
</pre>
272 17 Simone Piccardi
273 17 Simone Piccardi
con una più specifica che escluda la redirezione per la URL utilizzata da Let's Encrypt:
274 17 Simone Piccardi
275 17 Simone Piccardi
<pre>
276 26 Simone Piccardi
<VirtualHost *:80>
277 17 Simone Piccardi
    ServerName ci.truelite.it
278 17 Simone Piccardi
    RedirectMatch 301 ^/((?!.well-known\/acme-challenge).*)$ https://ci.truelite.it/$1
279 17 Simone Piccardi
</VirtualHost>
280 17 Simone Piccardi
</pre>
281 17 Simone Piccardi
282 27 Simone Piccardi
Se si vuole ottenere lo stesso risultato con il virtualhost di default di Apache, non è più possibile utilizzare @RedirectMatch@ in quanto in tal caso non è noto a priori l'hostname con cui si viene contattati, si può però inserire una regola generica in @/etc/apache2/sites-available/000-default.conf@ con:
283 27 Simone Piccardi
284 27 Simone Piccardi
<pre>
285 27 Simone Piccardi
<VirtualHost *:80>
286 27 Simone Piccardi
        [...]
287 27 Simone Piccardi
        RewriteEngine On
288 27 Simone Piccardi
        RewriteCond %{HTTPS} off [OR] 
289 27 Simone Piccardi
        RewriteRule ^/((?!.well-known\/acme-challenge).*)$ https://%{HTTP_HOST}/$1 [NC,R=301,L]
290 27 Simone Piccardi
        [...]
291 27 Simone Piccardi
</VirtualHost>
292 27 Simone Piccardi
</pre>
293 27 Simone Piccardi
294 1 Simone Piccardi
295 1 Simone Piccardi
h2. Esempi di configurazione dei servizi
296 1 Simone Piccardi
297 4 Simone Piccardi
Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file:
298 1 Simone Piccardi
299 1 Simone Piccardi
| *file*    | *contenuto* |
300 1 Simone Piccardi
|cert.pem      | cerficato |
301 1 Simone Piccardi
|chain.pem     | catena dalla CA |
302 1 Simone Piccardi
|fullchain.pem | catena + certificato|
303 3 Simone Piccardi
|privkey.pem   | chiave privata |
304 1 Simone Piccardi
305 1 Simone Piccardi
Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@.
306 1 Simone Piccardi
307 14 Elena Grandi
In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti.
308 14 Elena Grandi
309 1 Simone Piccardi
h3. Apache
310 1 Simone Piccardi
311 25 Simone Piccardi
I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che fino alla versione 2.2 li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è:
312 3 Simone Piccardi
313 1 Simone Piccardi
<pre>
314 14 Elena Grandi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem
315 14 Elena Grandi
SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem
316 5 Simone Piccardi
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
317 3 Simone Piccardi
</pre>
318 1 Simone Piccardi
319 25 Simone Piccardi
se invece si usa la versione 2.4 non è più necessario usare @SSLCertificateChainFile@ che è deprecata, e si deve invece passare ad usare il file @fullchain.pem@ che è l'insieme del certificato e di tutta la sua catena di firma con una configurazione del tipo:
320 25 Simone Piccardi
321 25 Simone Piccardi
<pre>
322 25 Simone Piccardi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/fullchain.pem
323 25 Simone Piccardi
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
324 25 Simone Piccardi
</pre>
325 25 Simone Piccardi
326 1 Simone Piccardi
h3. Postfix
327 1 Simone Piccardi
328 25 Simone Piccardi
329 25 Simone Piccardi
Il file @fullchain.pem@ è quello che viene richiesto anche da Postfix, Dovecot e Nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive:
330 1 Simone Piccardi
331 14 Elena Grandi
<pre>
332 14 Elena Grandi
smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem
333 5 Simone Piccardi
smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem
334 3 Simone Piccardi
</pre>
335 3 Simone Piccardi
336 5 Simone Piccardi
h3. Dovecot
337 3 Simone Piccardi
338 3 Simone Piccardi
mentre per Dovecot di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive:
339 1 Simone Piccardi
340 3 Simone Piccardi
<pre>
341 3 Simone Piccardi
ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem
342 1 Simone Piccardi
ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem
343 1 Simone Piccardi
</pre>
344 14 Elena Grandi
345 14 Elena Grandi
h3. Nginx
346 1 Simone Piccardi
347 9 Simone Piccardi
ed infine per Nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo:
348 1 Simone Piccardi
349 1 Simone Piccardi
<pre>
350 1 Simone Piccardi
server {
351 1 Simone Piccardi
   listen 443 ssl;
352 1 Simone Piccardi
   server_name bd.truelite.it;
353 1 Simone Piccardi
   root /var/www/html;
354 1 Simone Piccardi
   ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem;
355 1 Simone Piccardi
   ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem;
356 20 Elena Grandi
   ...
357 1 Simone Piccardi
</pre>
358 10 Simone Piccardi
359 1 Simone Piccardi
h3. ejabberd
360 1 Simone Piccardi
361 1 Simone Piccardi
Infine per configurare ejabberd (server jabber) occorre generare dai file di Let's Encrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà rigenerarlo ogni volta che si generano o rinnovano i certificati con:
362 1 Simone Piccardi
363 18 Simone Piccardi
<pre>
364 1 Simone Piccardi
cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \
365 1 Simone Piccardi
    /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem
366 1 Simone Piccardi
</pre>
367 1 Simone Piccardi
368 1 Simone Piccardi
In tutti i casi deve essere effettuato un riavvio completo dei servizi.
369 1 Simone Piccardi
370 1 Simone Piccardi
h2. Il rinnovo dei certificati
371 1 Simone Piccardi
372 1 Simone Piccardi
La scadenza dei certificati emessi da Let's Encrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo:
373 1 Simone Piccardi
374 1 Simone Piccardi
<pre>
375 24 Simone Piccardi
# certbot renew
376 1 Simone Piccardi
Checking for new version...
377 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
378 1 Simone Piccardi
   /root/.local/share/letsencrypt/bin/letsencrypt renew
379 1 Simone Piccardi
380 7 Simone Piccardi
-------------------------------------------------------------------------------
381 1 Simone Piccardi
Processing /etc/letsencrypt/renewal/mail.truelite.it.conf
382 1 Simone Piccardi
-------------------------------------------------------------------------------
383 1 Simone Piccardi
384 20 Elena Grandi
The following certs are not due for renewal yet:
385 20 Elena Grandi
  /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped)
386 20 Elena Grandi
No renewals were attempted.
387 20 Elena Grandi
</pre>
388 20 Elena Grandi
389 20 Elena Grandi
la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto:
390 20 Elena Grandi
391 20 Elena Grandi
<pre>
392 24 Simone Piccardi
00 23 * * 6  root certbot renew
393 20 Elena Grandi
</pre>
394 20 Elena Grandi
395 24 Simone Piccardi
oppure usare lo script @le-renew@ allegato, che esegue anche il riavvio dei servizi quando rileva un aggiornamento dei certificati, avendo cura di adattarlo alle proprie esigenze; in tal caso il suggerimento è di inserirlo fra quelli di  @/etc/cron.weekly@.
396 28 Simone Piccardi
397 28 Simone Piccardi
Nelle versioni più recenti del pacchetto viene installato un cron job @/etc/cron.d/certbot@ (non usato se la distibuzione usa systemd) ed un timer ed un service di @systemd@ che eseguono due volte al giorno il comando @certbot -q renew@. In tal caso non è necessario usare lo script allegato, ma si tenga conto che questo comando, da solo, non esegue altra azione che il rinnovo.
398 28 Simone Piccardi
399 30 Simone Piccardi
E' comunque possibile inserire degli _hook_ da eseguire in caso di rinnovo. Questo si può fare esplicitamente nel comando, con @--renew-hook@ nelle vecchie versioni o con i vari @--pre-hook@, @--post-hook@ e @--deploy-hook@ (quest'ultimo equivalente di @--renew-hook@) nelle versioni più recenti. Per queste ultime si possono anche inserire gli script da eseguire sotto @/etc/letsencrypt/renewal-hooks@ nelle corrispondenti directory @deploy@, @pre@ e @post@. In tal caso gli script vengono eseguiti una volta per ogni certificato rinnovato, e si hanno le variabili @RENEWED_LINEAGE@ per indicare il certificato rinnovato e @RENEWED_DOMAINS@ per l'elenco dei domini (separto da spazi) in esso contenuti.