Progetto

Generale

Profilo

UsareLetsEncrypt » Cronologia » Versione 5

Simone Piccardi, 21-04-2016 11:39

1 1 Simone Piccardi
h1. Usare Let'sEncrypt
2 1 Simone Piccardi
3 5 Simone Piccardi
Per l'uso della nuova Certification Authority libera e gratuita promossa da EFF, Mozilla e molti altri, il meccanismo più semplice (i pacchetti Debian sono disponibili al momento solo su testing e unstable) è quello di installare direttamente dal repository ufficiale, con:
4 1 Simone Piccardi
5 1 Simone Piccardi
<pre>
6 1 Simone Piccardi
git clone https://github.com/letsencrypt/letsencrypt
7 1 Simone Piccardi
</pre>
8 1 Simone Piccardi
9 1 Simone Piccardi
per verificarne il funzionamento occorrerà porsi nella directory in cui lo si è installato e per fargli installare i pacchetti mancanti eseguire (da root):
10 1 Simone Piccardi
11 1 Simone Piccardi
<pre>
12 1 Simone Piccardi
cd letsencrypt
13 1 Simone Piccardi
./letsencrypt-auto --help
14 1 Simone Piccardi
</pre>
15 1 Simone Piccardi
16 1 Simone Piccardi
il programma inoltre si autoaggiornerà ad ogni esecuzione, e se lanciato senza argomenti cercherà di eseguire una installazione automatica, la verifica della richiesta per poter emettere i certificati ed infine anche la configurazione del web server per usare i certificati ottenuti, fornendo indicazioni qualora tutto ciò non sia possibile.
17 1 Simone Piccardi
18 1 Simone Piccardi
Le modalità di utilizzo dipendono infatti dalla disponibilità o meno di alcuni pacchetti nella propria distribuzione, ad esempio con Debian Wheezy non si può utilizzare l'autoconfigurazione automatica di Apache, mancando sufficiente supporto. Tratteremo comunque soltanto la modalità di configurazione non automatica, coprendo con questo anche la configurazione di altri servizi che non siano i server web, come la posta elettronica o la messaggistica.
19 1 Simone Piccardi
20 1 Simone Piccardi
21 1 Simone Piccardi
h2. La generazione dei certificati
22 1 Simone Piccardi
23 3 Simone Piccardi
In generale, quando non è possibile o non si vuole utilizzare la configurazione automatica dei servizi, e si deve ricorrere all'uso del comando @certonly@, come indicato anche dal programma stesso se l'automatismo è impossibile:
24 1 Simone Piccardi
25 1 Simone Piccardi
<pre>
26 1 Simone Piccardi
root@holland:~/letsencrypt# ./letsencrypt-auto
27 1 Simone Piccardi
Checking for new version...
28 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
29 1 Simone Piccardi
   /root/.local/share/letsencrypt/bin/letsencrypt
30 5 Simone Piccardi
   No installers seem to be present and working on your system; fix that or try running letsencrypt with the "certonly" command
31 1 Simone Piccardi
</pre>
32 1 Simone Piccardi
33 1 Simone Piccardi
L'uso del sottocomando @certonly@ consente soltanto di ottenere i certificati, la configurazione dei servizi dovrà essere eseguita manualmente. Per emettere un certificato letsenctypt deve effettuare la validazione del dominio per cui questo viene richiesto, cosa che viene effettuata con una richiesta via web al dominio stesso, e l'uso di un meccanismo di challenge and response basato sulla possibilità di scaricare un file dal quel dominio.
34 1 Simone Piccardi
35 1 Simone Piccardi
Questa procedura può essere realizzata direttamente dal programma se si usa dopo il comando @certonly@ l'opzione @--standalone@, che si incarica di far partire un servizio web sulla porta 80 o 443, ma in tal caso occorre fermare apache (o altro webserver) se attivi sul dominio.
36 1 Simone Piccardi
37 1 Simone Piccardi
Si può evitare tutto questo utilizzando l'opzione @--webroot@ se si dispone dell'accesso alla document root del sito per cui si vuole ottenere il
38 1 Simone Piccardi
certificato, in tal caso infatti il programma crea i file necessari alla validazione sotto la directory @/.well-known/acme-challenge@, che però deve poter essere servita (occorre pertanto verificare che la configurazione del server web mantenga accessibile questa directory, per @nginx@ è in genere necessaria un configurazione ad hoc, ci torneremo più avanti).
39 1 Simone Piccardi
40 1 Simone Piccardi
La directory della document root deve essere indicata con l'opzione @-w@, mentre il dominio (o i domini se sono più di uno) devono essere richiesti con l'opzione @-d@, se si hanno diversi siti con diverse document root in teoria si potrebbe eseguire l'operazione in un solo passo usando prima l'opzione @-w@ per indicarle e poi l'opzione @-d@ per indicare il dominio, quest'ultima infatti assume si stia usando come document root la directory indicata con l'ultima occorrenza precedente di @-w@, ma con alcune versioni questo non avviene, pertanto si suggerisce di ripetere l'operazione per ciascun dominio, eseguendo ad esempio:
41 1 Simone Piccardi
42 1 Simone Piccardi
<pre>
43 1 Simone Piccardi
# ./letsencrypt-auto certonly --webroot -w /var/www/roundcubemail/ -d mail.truelite.it
44 1 Simone Piccardi
[...]
45 1 Simone Piccardi
IMPORTANT NOTES:
46 1 Simone Piccardi
 - Congratulations! Your certificate and chain have been saved at
47 1 Simone Piccardi
   /etc/letsencrypt/live/mail.truelite.it/fullchain.pem. Your cert will
48 1 Simone Piccardi
   expire on 2016-07-07. To obtain a new version of the certificate in
49 1 Simone Piccardi
   the future, simply run Let's Encrypt again.
50 1 Simone Piccardi
 - If you lose your account credentials, you can recover through
51 1 Simone Piccardi
   e-mails sent to xxx@truelite.it.
52 1 Simone Piccardi
 - Your account credentials have been saved in your Let's Encrypt
53 1 Simone Piccardi
   configuration directory at /etc/letsencrypt. You should make a
54 1 Simone Piccardi
   secure backup of this folder now. This configuration directory will
55 1 Simone Piccardi
   also contain certificates and private keys obtained by Let's
56 1 Simone Piccardi
   Encrypt so making regular backups of this folder is ideal.
57 1 Simone Piccardi
 - If you like Let's Encrypt, please consider supporting our work by:
58 1 Simone Piccardi
59 1 Simone Piccardi
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
60 1 Simone Piccardi
   Donating to EFF:                    https://eff.org/donate-le
61 1 Simone Piccardi
</pre>
62 1 Simone Piccardi
63 1 Simone Piccardi
La prima volta verrà richiesta una email di contatto (per comunicazione e recupero delle chiavi) e poi generato un certificato. La prima volta che si esegue il comando su una macchina oltre ad indicare la email di contatto si dovranno anche accettare le condizioni di letsencrypt. I certificati rilasciati durano tre mesi, e vengono installati sotto @/etc/letsencrypt/live@ in una directory corrispondente al nome a dominio indicato (nel caso @mail.truelite.it/@). Ogni invocazione successiva si limiterà a creare i certificati richiesti con qualcosa del tipo:
64 1 Simone Piccardi
65 1 Simone Piccardi
<pre>
66 1 Simone Piccardi
# ./letsencrypt-auto certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it 
67 1 Simone Piccardi
Checking for new version...
68 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
69 1 Simone Piccardi
   /root/.local/share/letsencrypt/bin/letsencrypt certonly --webroot -w /var/www/letsencrypt/ -d bd2.truelite.it
70 1 Simone Piccardi
71 1 Simone Piccardi
IMPORTANT NOTES:
72 1 Simone Piccardi
 - Congratulations! Your certificate and chain have been saved at
73 1 Simone Piccardi
   /etc/letsencrypt/live/bd2.truelite.it/fullchain.pem. Your cert will
74 1 Simone Piccardi
   expire on 2016-07-07. To obtain a new version of the certificate in
75 1 Simone Piccardi
   the future, simply run Let's Encrypt again.
76 1 Simone Piccardi
 - If you like Let's Encrypt, please consider supporting our work by:
77 1 Simone Piccardi
78 1 Simone Piccardi
   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
79 1 Simone Piccardi
   Donating to EFF:                    https://eff.org/donate-le
80 1 Simone Piccardi
</pre>
81 1 Simone Piccardi
82 1 Simone Piccardi
83 1 Simone Piccardi
h2. Configurazioni per consentire la validazione
84 1 Simone Piccardi
85 1 Simone Piccardi
Come accennato per effettuare la validazione del dominio con la modalità @--webroot@ è necessario che siano raggiungibili i contenuti corrispondenti alla URL:
86 1 Simone Piccardi
87 1 Simone Piccardi
<pre>
88 1 Simone Piccardi
http://mio.dominio.it/.well-known/acme-challenge/xxx
89 1 Simone Piccardi
</pre>
90 1 Simone Piccardi
91 5 Simone Piccardi
cosa che può dipendere dalla configurazione del proprio webserver. Nel caso di Ngnix la modalità suggerita per consentire questa configurazione è creare un frammento di configurazione (nel caso @/etc/nginx/snippets/letsencrypt-acme-challenge.conf@) contenente le direttive necessarie per consentire l'accesso: 
92 1 Simone Piccardi
93 1 Simone Piccardi
<pre>
94 1 Simone Piccardi
location ^~ /.well-known/acme-challenge/ {
95 1 Simone Piccardi
    default_type "text/plain";
96 1 Simone Piccardi
    root         /var/www/letsencrypt;
97 1 Simone Piccardi
}
98 1 Simone Piccardi
location = /.well-known/acme-challenge/ {
99 1 Simone Piccardi
    return 404;
100 1 Simone Piccardi
}
101 1 Simone Piccardi
</pre>
102 1 Simone Piccardi
103 1 Simone Piccardi
queste istruzioni consentono di eseguire la validazione indicando come webroot la directory @/var/www/letsencrypt@, posto che il frammento di cui sopra sia stato incluso come prima direttiva nelle configurazioni dei virtual host coinvolti (basta anche inserirlo solo nelle direttive in chiaro), ad esempio con qualcosa del tipo:
104 1 Simone Piccardi
105 1 Simone Piccardi
<pre>
106 1 Simone Piccardi
server {
107 1 Simone Piccardi
        listen 80;
108 1 Simone Piccardi
        root /var/www/html;
109 1 Simone Piccardi
        server_name bd.truelite.it;
110 1 Simone Piccardi
        include /etc/nginx/snippets/letsencrypt-acme-challenge.conf;
111 1 Simone Piccardi
        location / {
112 1 Simone Piccardi
            rewrite ^/(.*)$ https://bd.truelite.it/$1 permanent;
113 1 Simone Piccardi
        }       
114 1 Simone Piccardi
}
115 1 Simone Piccardi
</pre>
116 1 Simone Piccardi
117 1 Simone Piccardi
una analoga configurazione per Apache si può effettuare inserendo in @/etc/apache2/conf.d@ (o @/etc/apache2/conf-available/@ con Jessie) può essere la seguente:
118 1 Simone Piccardi
119 1 Simone Piccardi
<pre>
120 1 Simone Piccardi
Alias /.well-known/acme-challenge/ /var/www/.well-known/acme-challenge/
121 1 Simone Piccardi
<Directory "/var/www/.well-known/acme-challenge/">
122 1 Simone Piccardi
    Options None
123 1 Simone Piccardi
    AllowOverride None
124 1 Simone Piccardi
    ForceType text/plain
125 1 Simone Piccardi
    # avoid access to anything not resembling a challenge
126 1 Simone Piccardi
    RedirectMatch 404 "^(?!/\.well-known/acme-challenge/[\w-]{43}$)"
127 1 Simone Piccardi
</Directory>
128 1 Simone Piccardi
</pre>
129 1 Simone Piccardi
130 1 Simone Piccardi
131 1 Simone Piccardi
h2. Esempi di configurazione dei servizi
132 1 Simone Piccardi
133 1 Simone Piccardi
Una volta completata la validazione del proprio dominio, nella directory di installazione dei certificati (@/etc/letsencrypt/live/mio.dominio.it@) vengono sempre creati i file:
134 1 Simone Piccardi
135 4 Simone Piccardi
| *file*    | *contenuto* |
136 1 Simone Piccardi
|cert.pem      | cerficato |
137 1 Simone Piccardi
|chain.pem     | catena dalla CA |
138 1 Simone Piccardi
|fullchain.pem | catena + certificato|
139 1 Simone Piccardi
|privkey.pem   | chiave privata |
140 1 Simone Piccardi
141 3 Simone Piccardi
Dove @chain.pem@ è il certificato intermedio (o la catena di certificati intermedi) che validano @cert.pem@ che è il certificato del proprio dominio, mentre @fullchain.pem@ è l'insieme completo del certificato e della catena. Infine la chiave privata è in @privkey.pem@.
142 1 Simone Piccardi
143 1 Simone Piccardi
In qualunque configurazione occorre sempre fare riferimento a questi file, che sono link simbolici, in quanto @letsencrypt@ aggiornerà automaticamente gli stessi con la procedura di rinnovo automatico che vedremo più avanti.
144 1 Simone Piccardi
145 1 Simone Piccardi
I file @cert.pem@ e @chain.pem@ sono quelli che si usano nella configurazione di Apache, che li vuole separati, ad esempio con quelli ottenuti in precedenza la configurazione utilizzata è:
146 1 Simone Piccardi
147 1 Simone Piccardi
<pre>
148 3 Simone Piccardi
SSLCertificateFile /etc/letsencrypt/live/mail.truelite.it/cert.pem
149 1 Simone Piccardi
SSLCertificateChainFile /etc/letsencrypt/live/mail.truelite.it/chain.pem
150 3 Simone Piccardi
SSLCertificateKeyFile /etc/letsencrypt/live/mail.truelite.it/privkey.pem
151 3 Simone Piccardi
</pre>
152 3 Simone Piccardi
153 5 Simone Piccardi
Invece @fullchain.pem@ è l'insieme del certificato e di tutta la sua catena di firma, che viene richiesto da Postfix, Dovecot e Nginx. Per Postfix occorrerà farvi riferimento in @/etc/postfix/main.cf@ con le direttive:
154 1 Simone Piccardi
155 3 Simone Piccardi
<pre>
156 1 Simone Piccardi
smtpd_tls_cert_file=/etc/letsencrypt/live/mail.truelite.it/fullchain.pem
157 1 Simone Piccardi
smtpd_tls_key_file=/etc/letsencrypt/live/mail.truelite.it/privkey.pem
158 1 Simone Piccardi
</pre>
159 1 Simone Piccardi
160 5 Simone Piccardi
mentre per Dovecot di dovanno utilizzare in @/etc/dovecot/conf.d/90-user.conf@ le direttive:
161 3 Simone Piccardi
162 1 Simone Piccardi
<pre>
163 1 Simone Piccardi
ssl_cert = </etc/letsencrypt/live/mail.truelite.it/fullchain.pem
164 1 Simone Piccardi
ssl_key = </etc/letsencrypt/live/mail.truelite.it/privkey.pem
165 3 Simone Piccardi
</pre>
166 3 Simone Piccardi
167 5 Simone Piccardi
ed infine per Nginx si dovrà inserire nella configurazione del proprio virtual host qualcosa del tipo:
168 3 Simone Piccardi
169 3 Simone Piccardi
<pre>
170 5 Simone Piccardi
server {
171 3 Simone Piccardi
   listen 443 ssl;
172 3 Simone Piccardi
   server_name bd.truelite.it;
173 3 Simone Piccardi
   root /var/www/html;
174 3 Simone Piccardi
   ssl_certificate /etc/letsencrypt/live/bd.truelite.it/fullchain.pem;
175 3 Simone Piccardi
   ssl_certificate_key /etc/letsencrypt/live/bd.truelite.it/privkey.pem;
176 3 Simone Piccardi
   ...
177 1 Simone Piccardi
</pre>
178 1 Simone Piccardi
179 1 Simone Piccardi
Infine per configurare ejabberd (server jabber) occorre generare dai file di letsencrypt un unico file contenente in testa la chiave privata (il programma non consente di specificarli separatamente), se pertanto @/etc/ejabberd/ejabberd.pem@ è il file usato dal programma, occorrerà
180 1 Simone Piccardi
rigenerarlo ogni volta che si generano o rinnovano i certificati con:
181 1 Simone Piccardi
182 1 Simone Piccardi
<pre>
183 1 Simone Piccardi
cat /etc/letsencrypt/live/jabber.truelite.it/privkey.pem \
184 1 Simone Piccardi
    /etc/letsencrypt/live/jabber.truelite.it/fullchain.pem > ejabberd.pem
185 1 Simone Piccardi
</pre>
186 1 Simone Piccardi
187 1 Simone Piccardi
In tutti i casi deve essere effettuato un riavvio completo dei servizi. 
188 1 Simone Piccardi
189 1 Simone Piccardi
190 1 Simone Piccardi
h2. Il rinnovo dei certificati
191 1 Simone Piccardi
192 2 Simone Piccardi
La scadenza dei certificati emessi da letsencrypt è di tre mesi, ma una volta ottenuti questi possono essere facilmente rinnovati utilizzando il sottocomando @renew@, in particolare se si esegue il comando dopo averli ottenuti si otterrà qualcosa del tipo:
193 1 Simone Piccardi
194 1 Simone Piccardi
<pre>
195 1 Simone Piccardi
# ./letsencrypt-auto renew
196 1 Simone Piccardi
Checking for new version...
197 1 Simone Piccardi
Requesting root privileges to run letsencrypt...
198 1 Simone Piccardi
   /root/.local/share/letsencrypt/bin/letsencrypt renew
199 1 Simone Piccardi
200 1 Simone Piccardi
-------------------------------------------------------------------------------
201 1 Simone Piccardi
Processing /etc/letsencrypt/renewal/mail.truelite.it.conf
202 1 Simone Piccardi
-------------------------------------------------------------------------------
203 1 Simone Piccardi
204 1 Simone Piccardi
The following certs are not due for renewal yet:
205 1 Simone Piccardi
  /etc/letsencrypt/live/mail.truelite.it/fullchain.pem (skipped)
206 1 Simone Piccardi
No renewals were attempted.
207 1 Simone Piccardi
</pre>
208 1 Simone Piccardi
209 1 Simone Piccardi
la cosa si può automatizzare inserendo banalmente nel cron il comando, ad esempio creando il file @/etc/cron.d/letencrypt@ con il contenuto:
210 1 Simone Piccardi
211 1 Simone Piccardi
<pre>
212 1 Simone Piccardi
00 23 * * 6  root /root/letsencrypt/letsencrypt-auto renew
213 1 Simone Piccardi
</pre>
214 5 Simone Piccardi
215 5 Simone Piccardi
oppure usare lo script allegato (da adattare alle proprie esigenze), da inserire in  @/etc/cron.weekly@.