[CENTOS] SSL-active plusieurs sites sur un serveur avec nginx et Let's Encrypt

Ici, je vais vous présenter comment créer un site SSL à l'aide de Let's Encrypt et nginx, et ce que j'ai fait lorsque j'ai exploité plusieurs sites sur un serveur en utilisant la fonction nginx telle qu'elle est et que je les ai tous rendus SSL. Faire. Nous avons publié le fichier de configuration nginx, veuillez donc vous référer ici pour plus de détails. https://github.com/TakuKobayashi/ActivatingNginxConf

Qu'est-ce que SSL?

SSL est un mécanisme de communication en cryptant des données. Si vous activez SSL, vous pourrez utiliser des URL telles que https: // (pour HTTP) et wss: // (pour Websocket) comme indiqué ci-dessous. https.png

Pour plus de détails, voir ici, etc.

Certificat SSL

Un certificat SSL </ b> </ font> est nécessaire pour que le serveur soit compatible SSL et puisse communiquer. Les certificats SSL sont communément appelés Autorité de certification et sont approuvés. Vous devez payer de l'argent des trois parties pour obtenir un certificat. Le coût est de dizaines de milliers à des centaines de milliers de yens par an </ font>. C'est haut ...

Qu'est-ce que Let's Encrypt

Let's Encrypt est une autorité de certification (groupe / projet) qui délivre des certificats SSL gratuitement </ font>.

Obtenez un certificat SSL avec Let's Encrypt

Pour obtenir un certificat SSL à l'aide de Let's Encrypt, Python 2.7 ou supérieur doit être installé, alors installez Python 2.7 ou supérieur. J'ai installé Python après avoir mis Pyenv afin de pouvoir basculer entre les versions de Python.

Installez Python

Installez les bibliothèques nécessaires, etc. pour utiliser Pyenv (pour CentOS)

yum install gcc gcc-c++ make git openssl-devel bzip2-devel zlib-devel readline-devel sqlite-devel bzip2 sqlite
zlib-devel bzip2 bzip2-devel readline-devel sqlite sqlite-devel openssl-devel

Installez Pyenv

git clone git://github.com/yyuu/pyenv.git

Passer le chemin de Pyenv

cd pyenv/
vi ~/.bashrc

Trouvez l'emplacement de pyenv dans .bashrc (ici dans / app / library / pyenv) et écrivez ce qui suit et passez-le.

export PYENV_ROOT="/app/library/pyenv"
if [ -d "${PYENV_ROOT}" ]; then
    export PATH=${PYENV_ROOT}/bin:$PATH
    eval "$(pyenv init -)"
fi

Activez le chemin défini.

source ~/.bashrc

Et

pyenv

S'il n'y a pas d'erreur, le chemin est transmis.

Découvrez quelle version de Python vous pouvez installer

pyenv install --list

Installer Python à l'aide de Pyenv

Ici, nous allons installer Python 2.7.13

pyenv install 2.7.13

Rendre le Python installé disponible

pyenv global 2.7.13

avec ça

python

Est exécuté, et si aucune erreur ne se produit, l'installation est terminée.

Obtenez un certificat SSL de Let's Encrypt

Créer un chemin dédié pour la vérification des certificats

La prochaine fois que vous utiliserez certbot pour obtenir un certificat, il vérifiera l'existence du serveur. Vous devez créer un chemin dédié pour accueillir cette vérification. Cette fois, nous répondrons en créant un répertoire sous la racine du document. Utilisez Nginx Pour Nginx, la racine du document se trouve dans [répertoire racine de nginx] /conf.d/default.conf. Dans ce cas, il s'agit du contenu décrit ci-dessous.

 location / {
   root   /usr/share/nginx/html;
   index  index.html index.htm;
 }

Par conséquent, créez un répertoire vide pour définir le chemin à partir de la racine du document comme indiqué ci-dessous.

mkdir [répertoire racine nginx]/html/.well-known

Ensuite, éditez [répertoire racine nginx] /nginx.conf afin que le chemin créé puisse être utilisé du côté nginx.

http{
  ...
  server {
    ...
    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;
    }
    ...
  }
}

Ensuite, redémarrez nginx pour que les modifications s'appliquent.

service nginx restart

Installez certbot (à l'aide de Git)

certbot est un outil fourni par Let ’s Encrypt et est un agent (client) qui communique avec Let’ s Encrypt. Il existe une méthode qui n'utilise pas Git, mais cette fois nous allons l'installer en utilisant la méthode qui utilise Git.

git clone https://github.com/certbot/certbot

Obtenez un certificat en utilisant certbot

cd certbot/
./certbot-auto certonly

Ensuite, il y a les annonces suivantes, nous allons donc faire divers réglages.

How would you like to authenticate with the ACME CA?

1: Spin up a temporary webserver (standalone)

2: Place files in webroot directory (webroot)

Select the appropriate number [1-2] then enter: 2
Enter email address (used for urgent renewal and security notices) (Enter 'c' to

cancel):[adresse mail]

Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf. You must agree
in order to register with the ACME server at

https://acme-v01.api.letsencrypt.org/directory

(A)gree/(C)ancel: A



Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about EFF and

our work to encrypt the web, protect its users and defend digital rights.

(Y)es/(N)o: Y
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel):[Nom de domaine](Sivoussouhaitezdéfinirplusieursdomaines,répertoriez-lesséparéspardesvirgules.Iciue4yochi.Définirsurnet)
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for ue4yochi.net

Select the webroot for ue4yochi.net:

1: Enter a new webroot

Press 1 [enter] to confirm the selection (press 'c' to cancel): 1
Input the webroot for ue4yochi.net: (Enter 'c' to cancel):[Le chemin du répertoire créé ci-dessus]

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at
   /etc/letsencrypt/live/ue4yochi.net/fullchain.pem. Your cert will
   expire on 2017-10-03. To obtain a new or tweaked version of this
   certificate in the future, simply run certbot-auto again. To
   non-interactively renew all of your certificates, run
   "certbot-auto renew"
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

Au dessus de, Dans / etc / letsencrypt / live / [nom de domaine] / </ font> Si vous disposez des fichiers fullchain.pem </ font> et privkey.pem </ font>, vous avez obtenu le certificat.

Appliquez le certificat obtenu et activez SSL.

Modifiez le fichier nginx.conf comme suit:

http{
  ...
  server {
    listen 443 ssl;
　　　　　　　　server_domaine de nom A;
    ...
    ssl_certificate     /etc/letsencrypt/live/[Nom de domaine]/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/[Nom de domaine]/privkey.pem;
    ...
    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;
    }
    ...
    location / {
      ...
    }
  }
}

Ensuite, redémarrez nginx pour que les modifications s'appliquent.

service nginx restart

Si le serveur fonctionne maintenant https://ドメインAにブラウザでアクセスすることができれば、SSL化完了です。

Exploitez plusieurs sites sur un serveur à l'aide de nginx et créez tous les SSL

La prise en charge SSL ci-dessus dans nginx peut être appliquée même lorsque vous essayez d'exploiter plusieurs sites sur un serveur. Je ne veux pas dépenser trop d'argent, alors ce serait bien si je pouvais gérer plusieurs sites sur un serveur ♪ De plus, ce serait formidable si tous pouvaient prendre en charge SSL ♪ Cependant, un ou plusieurs domaines sont requis pour exploiter plusieurs sites sur un serveur </ b> </ font>.

Configuration pour exploiter plusieurs sites (différents domaines) sur un serveur avec nginx

À ce stade, les paramètres d'un site sont déjà terminés. Tout d'abord, créez un chemin vérifiable comme le premier afin que vous puissiez obtenir un certificat pour le deuxième site avec certbot. Vous pouvez utiliser le même que le premier, mais vous devez définir chacun d'eux. Décrivez le fichier de configuration nginx comme suit.

http{
  ...
  server {
    listen 443 ssl;
　　　　　　　　server_domaine de nom A;
    ...
    ssl_certificate     /etc/letsencrypt/live/[Nom de domaine]/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/[Nom de domaine]/privkey.pem;
    ...
    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;
    }
    ...
    location / {
      ...
    }
  }

  server {
    listen 443 ssl;
　　　　　　　　server_domaine de nom B;
    ...
    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;
    }
    ...
    location / {
      ...
    }
}

Ensuite, redémarrez nginx pour que les modifications s'appliquent.

service nginx restart

Émission d'un certificat SSL utilisable sur plusieurs sites

Entrez ce qui suit de la même manière que la procédure d'acquisition de certificat ci-dessus.

./certbot-auto certonly

Dans ce cas, si vous avez déjà obtenu un certificat et que vous souhaitez obtenir un nouveau domaine et ajouter un certificat, vous pouvez l'appliquer en exécutant la même procédure. Continuez à lire les annonces qui ont été publiées,

...
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel):Domaine A,Domaine B,...
...

Lorsque les questions ci-dessus sont posées, il est possible d'émettre des certificats correspondant à plusieurs domaines en organisant plusieurs types de domaines séparés par,. Au moment du réglage, il vous sera demandé où vérifier chacun d'eux, mais c'est OK car vous spécifiez le même.

Appliquez le certificat obtenu par nginx à chacun.

Les certificats pour plusieurs domaines sont définis dans le même fichier au même emplacement que dans le premier cas ci-dessus, donc modifiez nginx.conf comme suit afin qu'il soit le même lors de l'application à plusieurs domaines. Je vais.

http{
  ...
  server {
    listen 443 ssl;
　　　　　　　　server_domaine de nom A;
    ...
    ssl_certificate     /etc/letsencrypt/live/[Nom de domaine]/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/[Nom de domaine]/privkey.pem;
    ...
    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;
    }
    ...
    location / {
      ...
    }
  }

  server {
    listen 443 ssl;
　　　　　　　　server_domaine de nom B;
    ssl_certificate     /etc/letsencrypt/live/[Nom de domaine]/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/[Nom de domaine]/privkey.pem;
    ...
    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;
    }
    ...
    location / {
      ...
    }
  }
}

Ensuite, redémarrez nginx pour que les modifications s'appliquent.

service nginx restart

Si le serveur fonctionne maintenant https://ドメインA et https://ドメインB Si vous pouvez accéder avec un navigateur, les deux sont compatibles SSL.

Supplément

Si vous définissez le serveur ci-dessus pour qu'il puisse voir plusieurs domaines différents, le paramètre supérieur décrit dans nginx.conf prévaudra. Par exemple, si vous entrez l'URL suivante https://[IPアドレス] Ou https://[DNS名] Si vous entrez, le site du domaine A s'affiche.

Renouvellement automatique du certificat SSL

La date d'expiration du certificat obtenu par Let's Encrypt est de 3 mois </ font>. Par conséquent, il est nécessaire de renouveler le certificat avant son expiration. Si vous souhaitez renouveler automatiquement le certificat, vous pouvez le renouveler automatiquement en définissant cron.

crontab -e

Ouvrez les paramètres cron avec et définissez comme suit.

0 4 1 * * [certbot-passer avec auto]/certbot-auto renew && service nginx reload

Vous pouvez maintenant renouveler automatiquement le certificat SSL et refléter les paramètres dans nginx. (Le processus ci-dessus est effectué une fois par mois pour vérifier si le certificat a été renouvelé.)

référence

Renouveler automatiquement le certificat SSL Let's Encrypt (Certbot) dans l'environnement proxy inverse Nginx + sans arrêter le serveur Web --Qiita L'histoire d'essayer de Chiffrer en utilisant Nginx comme proxy inverse-Qiita Installez Let's Encrypt sur un serveur fonctionnant sous Nginx et émettez un certificat SSL --UTALI Comment définir l'émission de certificat SSL et le renouvellement automatique avec Let's Encrypt + Nginx --Qiita Le serveur WEB à vitesse légère (nginx) est converti en SSL et HTTP / 2 par Let's encrypt. Ensuite, réglez la cote de sécurité sur A +. --Qiita Publication d’un site Web sécurisé avec le certificat SSL Let ’s Encrypt - Sakura Knowledge