Progetto

Generale

Profilo

UsareLetsEncrypt » Cronologia » Versione 4

Simone Piccardi, 21-04-2016 11:31

1 1 Simone Piccardi
h1. Usare Let'sEncrypt
2
3
Per l'uso della nuova certification authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice (i pacchetti Debian sono disponibili al momento solo su testing e unstable) è quello di installare direttamente dal repository ufficiale, con:
4
5
<pre>
6
git clone https://github.com/letsencrypt/letsencrypt
7
</pre>
8
9
per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è installato e per fargli installare i pacchetti mancanti eseguire (da root):
10
11
<pre>
12
cd letsencrypt
13
./letsencrypt-auto --help
14
</pre>
15
16
il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile.
17
18
Le modalità di utilizzo dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica.
19
20
21
h2. La generazione dei certificati
22
23 3 Simone Piccardi
In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del comando @certonly@, come indicato anche dal programma stesso se l'automatismo è impossibile:
24 1 Simone Piccardi
25
<pre>
26
root@holland:~/letsencrypt# ./letsencrypt-auto
27
Checking for new version...
28
Requesting root privileges to run letsencrypt...
29
   /root/.local/share/letsencrypt/bin/letsencrypt
30
   No installers seem to be present and working on your system; fix
31
that or try running letsencrypt with the "certonly" command
32
</pre>
33
34
L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato letsenctypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di challenge and response basato sulla possibilità di scaricare un file dal quel dominio.
35
36
Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare apache (o altro webserver) se attivi sul dominio.
37
38
Si può evitare tutto questo utilizzando l'opzione @--webroot@ se si dispone dell'accesso alla document root del sito per cui si vuole ottenere il
39
certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @/.well-known/acme-challenge@, che però deve poter essere servita (occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, per @nginx@ è in genere necessaria un configurazione ad hoc, ci torneremo più avanti).
40
41
La directory della document root deve essere indicata con l'opzione @-w@, mentre il dominio (o i domini se sono più di uno) devono essere richiesti con l'opzione @-d@, se si hanno diversi siti con diverse document root in teoria si potrebbe eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicarle e poi l'opzione @-d@ per indicare il dominio, quest'ultima infatti assume si stia usando come document root la directory indicata con l'ultima occorrenza precedente di @-w@, ma con alcune versioni questo non avviene, pertanto si suggerisce di ripetere l'operazione per ciascun dominio, eseguendo ad esempio:
42
43
<pre>
44
# ./letsencrypt-auto certonly --webroot -w /var/www/roundcubemail/ -d mail.truelite.it
45
[...]
46
IMPORTANT NOTES:
47
 - Congratulations! Your certificate and chain have been saved at
48
   /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will
49
   expire on 2016-07-07. To obtain a new version of the certificate in
50
   the future, simply run Let's Encrypt again.
51
 - If you lose your account credentials, you can recover through
52
   e-mails sent to xxx@truelite.it.
53
 - Your account credentials have been saved in your Let's Encrypt
54
   configuration directory at /etc/letsencrypt. You should make a
55
   secure backup of this folder now. This configuration directory will
56
   also contain certificates and private keys obtained by Let's
57
   Encrypt so making regular backups of this folder is ideal.
58
 - If you like Let's Encrypt, please consider supporting our work by:
59
60
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
61
   Donating to EFF:                    https://eff.org/donate-le
62
</pre>
63
64
La prima volta verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e poi generato un certificato. La prima volta che si esegue il comando su una macchina oltre ad indicare la email di contatto si dovranno anche accettare le condizioni di letsencrypt. I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato (nel caso @mail.truelite.it/@). Ogni invocazione successiva si limiterà a creare i certificati richiesti con qualcosa del tipo:
65
66
<pre>
67
# ./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it 
68
Checking for new version...
69
Requesting root privileges to run letsencrypt...
70
   /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it
71
72
IMPORTANT NOTES:
73
 - Congratulations! Your certificate and chain have been saved at
74
   /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will
75
   expire on 2016-07-07. To obtain a new version of the certificate in
76
   the future, simply run Let's Encrypt again.
77
 - If you like Let's Encrypt, please consider supporting our work by:
78
79
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
80
   Donating to EFF:                    https://eff.org/donate-le
81
</pre>
82
83
84
h2. Configurazioni per consentire la validazione
85
86
Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL:
87
88
<pre>
89
http://mio.dominio.it/.well-known/acme-challenge/xxx
90
</pre>
91
92 3 Simone Piccardi
cosa che può dipendere dalla configurazione del proprio webserver. Nel caso di ngnix la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: 
93 1 Simone Piccardi
94
<pre>
95
location ^~ /.well-known/acme-challenge/ {
96
    default_type "text/plain";
97
    root         /var/www/letsencrypt;
98
}
99
location = /.well-known/acme-challenge/ {
100
    return 404;
101
}
102
</pre>
103
104
queste istruzioni consentono di eseguire la validazione indicando come webroot la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo:
105
106
<pre>
107
server {
108
        listen 80;
109
        root /var/www/html;
110
        server_name bd.truelite.it;
111
        include /etc/nginx/snippets/letsencrypt-acme-challenge.conf;
112
        location / {
113
            rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent;
114
        }       
115
}
116
</pre>
117
118
una analoga configurazione per Apache si può effettuare inserendo in @/etc/apache2/conf.d@ (o @/etc/apache2/conf-available/@ con Jessie) può essere la seguente:
119
120
<pre>
121
Alias /.well-known/acme-challenge/ /var/www/.well-known/acme-challenge/
122
<Directory "/var/www/.well-known/acme-challenge/">
123
    Options None
124
    AllowOverride None
125
    ForceType text/plain
126
    # avoid access to anything not resembling a challenge
127
    RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)"
128
</Directory>
129
</pre>
130
131
132
h2. Esempi di configurazione dei servizi
133
134
Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file:
135
136 4 Simone Piccardi
| *file*    | *contenuto* |
137 1 Simone Piccardi
|cert.pem      | cerficato |
138
|chain.pem     | catena dalla CA |
139
|fullchain.pem | catena + certificato|
140
|privkey.pem   | chiave privata |
141
142 3 Simone Piccardi
Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@.
143 1 Simone Piccardi
144
In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti.
145
146
I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è:
147
148
<pre>
149 3 Simone Piccardi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem
150
SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem
151
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
152
</pre>
153
154
155
Invece @fullchain.pem@ è l'insieme del certificato e di tutta la sua catena di firma, che viene richiesto da Postfix, Dovecot e nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive:
156
157
<pre>
158 1 Simone Piccardi
smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem
159
smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem
160
</pre>
161
162 3 Simone Piccardi
mentre per Dovecont di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive:
163 1 Simone Piccardi
164
<pre>
165
ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem
166
ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem
167 3 Simone Piccardi
</pre>
168
169
ed infine per nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo:
170
171
<pre>
172
<server {
173
   listen 443 ssl;
174
   server_name bd.truelite.it;
175
   root /var/www/html;
176
   ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem;
177
   ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem;
178
   ...
179 1 Simone Piccardi
</pre>
180
181
Infine per configurare ejabberd (server jabber) occorre generare dai file di letsencrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà
182
rigenerarlo ogni volta che si generano o rinnovano i certificati con:
183
184
<pre>
185
cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \
186
    /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem
187
</pre>
188
189
In tutti i casi deve essere effettuato un riavvio completo dei servizi. 
190
191
192
h2. Il rinnovo dei certificati
193
194 2 Simone Piccardi
La scadenza dei certificati emessi da letsencrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo:
195 1 Simone Piccardi
196
<pre>
197
# ./letsencrypt-auto renew
198
Checking for new version...
199
Requesting root privileges to run letsencrypt...
200
   /root/.local/share/letsencrypt/bin/letsencrypt renew
201
202
-------------------------------------------------------------------------------
203
Processing /etc/letsencrypt/renewal/mail.truelite.it.conf
204
-------------------------------------------------------------------------------
205
206
The following certs are not due for renewal yet:
207
  /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped)
208
No renewals were attempted.
209
</pre>
210
211
la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto:
212
213
<pre>
214
00 23 * * 6  root /root/letsencrypt/letsencrypt-auto renew
215
</pre>