Jak zažádat o Let's Encrypt?Let's Encrypt SSL Free Certificate Princip & Installation Tutorial

Jak požádat o Let's Encrypt?

Pojďme šifrovat SSL certifikát Princip a instalační kurz

Co je SSL? Chen Weiliang o tom hovořil ve svém předchozím článku „ Jaký je rozdíl mezi HTTP a HTTPS? Podrobné vysvětlení procesu šifrování SSL “.

Kromě e-commerce webů, které si musí zakoupit vysoce šifrované SSL certifikáty, si mohou profesionálové v oblasti nových médií , kteří používají webové stránky k propagaci svých oficiálních účtů WeChat, nainstalovat bezplatné šifrované SSL certifikáty. To může pomoci s SEO a zlepšit hodnocení webu ve vyhledávačích.

Let's Encrypt má svůj vlastní pracovní postup ( https://certbot.eff.org/ ). Uživatelé Linuxu se na tento pracovní postup mohou podívat a postupovat podle tohoto tutoriálu.

Nejprve si stáhněte nástroj certbot-auto a poté spusťte instalační závislosti nástroje.

wget https://dl.eff.org/certbot-auto --no-check-certificate
chmod +x ./certbot-auto
./certbot-auto -n

Vygenerujte SSL certifikát

Dále, vezměte si jako příklad doménové jméno blogu Chen Weiliang , upravte ho podle svých potřeb a spusťte následující příkaz přes SSH.

Nezapomeňte upravit příkaz v:

1. Poštovní schránka
2. cesta k serveru
3. název domény webu

Jediná doména jeden adresář, vygenerujte certifikát:

./certbot-auto certonly --email [email protected] --agree-tos --no-eff-email --webroot -w /home/admin/web/chenweiliang.com/public_html -d www.chenweiliang.com

Vícedoménový jeden adresář, vygenerujte certifikát: (tj. více doménových jmen, jeden adresář, použijte stejný certifikát)

./certbot-auto certonly --email [email protected] --agree-tos --no-eff-email --webroot -w /home/admin/web/chenweiliang.com/public_html -d www.chenweiliang.com -d img.chenweiliang.com

Vygenerovaný certifikát SSL bude uložen v:/etc/letsencrypt/live/www.chenweiliang.com/ Pod obsahem.

Více názvů domén a více adresářů, vygenerujte certifikát: (tj. více názvů domén, více adresářů, použijte stejný certifikát)

./certbot-auto certonly --email [email protected] --agree-tos --no-eff-email --webroot -w /home/admin/web/chenweiliang.com/public_html -d www.chenweiliang.com -d img.chenweiliang.com -w /home/eloha/public_html/site/etufo.org -d www.etufo.org -d img.etufo.org

Po úspěšné instalaci certifikátu Let's Encrypt se zobrazí výzva SSH takto:

DŮLEŽITÉ POZNÁMKY:
– Gratulujeme! Váš certifikát a chain byly uloženy na:
/etc/letsencrypt/live/www.chenweiliang.com/fullchain.pem
Váš soubor klíče byl uložen na:
/etc/letsencrypt/live/www.chenweiliang.com/privkey.pem
Platnost vašeho certifikátu vyprší 2018. 02. 26. Chcete-li získat nový nebo vylepšený
verzi tohoto certifikátu v budoucnu jednoduše spusťte certbot-auto
Chcete-li neinteraktivně obnovit *všechny* své certifikáty, spusťte
"certbot-auto renew"
- Pokud se vám líbí Certbot, zvažte, prosím, podporu naší práce:
Darování ISRG / Let's Encrypt: https://letsencrypt.org/donate
Darování EFF: https://eff.org/donate-le

Obnovení certifikátu SSL

Obnovení certifikátu je také velmi pohodlné, pro automatické obnovení se používá crontab . U některých verzí Debianu, které nemají crontab nainstalovaný, jej můžete nejprve nainstalovat ručně.

apt-get install cron

Následující příkazy pro nginx a apache se zadávají do souboru /etc/crontab , což znamená, že se obnovují každých 10 dní a postačuje 90denní doba platnosti.

Nginx soubor crontab, přidejte prosím:

0 3 */10 * * /root/certbot-auto renew --renew-hook "/etc/init.d/nginx reload"

Soubor Apache crontab, přidejte prosím:

0 3 */10 * * /root/certbot-auto renew --renew-hook "service httpd restart"

SSL certifikát Konfigurace Apache

Nyní musíme provést změny v konfiguraci Apache.

Tipy:

• pokud používáteOvládací panel CWP, v zaškrtnutí Přidat název domény Automaticky vygenerovat SSL certifikát automaticky nakonfiguruje SSL certifikát pro Apache.
• Pokud provedete více z následujících kroků, může po restartování Apache dojít k chybě.
• Pokud dojde k chybě, odstraňte konfiguraci, kterou jste přidali ručně.

Upravte soubor httpd.conf ▼

/usr/local/apache/conf/httpd.conf

Najděte ▼

Listen 443

• (odstraňte předchozí komentář číslo #)

nebo přidejte naslouchací port 443 ▼

Listen 443

SSH kontrola naslouchacího portu Apache ▼

grep ^Listen /usr/local/apache/conf/httpd.conf

Najděte ▼

mod_ssl

• (odstraňte předchozí komentář číslo #)

nebo přidejte ▼

LoadModule ssl_module modules/mod_ssl.so

Najděte ▼

httpd-ssl

• (odstraňte předchozí komentář číslo #)

Poté SSH spusťte následující příkaz (poznámka ke změně cesty na vlastní):

at >/usr/local/apache/conf/extra/httpd-ssl.conf<<EOF
Listen 443
AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl .crl
SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
SSLProxyCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
SSLHonorCipherOrder on
SSLProtocol all -SSLv2 -SSLv3
SSLProxyProtocol all -SSLv2 -SSLv3
SSLPassPhraseDialog builtin
SSLSessionCache "shmcb:/usr/local/apache/logs/ssl_scache(512000)"
SSLSessionCacheTimeout 300
SSLMutex "file:/usr/local/apache/logs/ssl_mutex"
EOF

Dále, na konci konfigurace Apache pro webovou stránku, kterou jste vytvořili, v sekci </VirtualHost>.

Přidejte konfigurační soubor sekce SSL (poznámka k odstranění komentáře a změně cesty na vlastní):

<VirtualHost *:443>
DocumentRoot /home/admin/web/chenweiliang.com/public_html //网站目录
ServerName www.chenweiliang.com:443 //域名
ServerAdmin [email protected] //邮箱
ErrorLog "/var/log/www.chenweiliang.com-error_log" //错误日志
CustomLog "/var/log/www.chenweiliang.com-access_log" common //访问日志
SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/www.chenweiliang.com/fullchain.pem //之前生成的证书
SSLCertificateKeyFile /etc/letsencrypt/live/www.chenweiliang.com/privkey.pem //之前生成的密钥
<Directory "/home/admin/web/chenweiliang.com/public_html"> //网站目录
SetOutputFilter DEFLATE
Options FollowSymLinks
AllowOverride All
suPHP_UserGroup eloha eloha //用户组（有些服务器配置需要，有些可能不需要，出错请删除此行）
Order allow,deny
Allow from all
DirectoryIndex index.html index.phps
</Directory>
</VirtualHost>

Nakonec na něm restartujte Apache:

service httpd restart

Apache vynutí přesměrování HTTP na HTTPS

• Mnoho webových požadavků může vždy běžet pouze s SSL.
• Musíme se ujistit, že pokaždé, když používáme SSL, musí být web přístupný přes SSL.
• Pokud se jakýkoli uživatel pokusí o přístup na webovou stránku s URL bez SSL, musí být přesměrován na webovou stránku SSL.
• Přesměrování na SSL URL pomocí modulu Apache mod_rewrite.
• Například pomocí instalačního balíčku LAMP na jedno kliknutí, vestavěné automatické instalace certifikátu SSL a nuceného přesměrování na HTTPS, přesměrování na HTTPSV platnosti, nemusíte přidávat přesměrování HTTPS.

Přidat pravidlo přesměrování

• V konfiguračním souboru Apache upravte virtuálního hostitele webu a přidejte následující nastavení.
• Stejná nastavení můžete také přidat do kořenového adresáře dokumentu na vašem webu v souboru .htaccess.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Pokud chcete pouze zadat určitou adresu URL pro přesměrování na HTTPS:

RewriteEngine On
RewriteRule ^message$ https://www.etufo.org/message [R=301,L]

• Pokud se někdo pokusí o přístup zpráva , stránka přejde na https a uživatel bude mít přístup k URL pouze pomocí SSL.

Restartujte Apache, aby se soubor .htaccess projevil:

service httpd restart

注意 事项

• Změňte prosím výše uvedenou e-mailovou adresu na svou e-mailovou adresu.
• Nezapomeňte prosím změnit výše uvedený název domény webu na název domény vašeho webu.

Problém s umístěním pravidla přesměrování

Při umisťování pravidel přesměrování pod pseudostatická pravidla se často setkáte s problémem, že HTTP nemůže přesměrovat celý web na HTTPS.

Původně jsme zkopírovali přesměrovací kód do .htaccess a objeví se v následujících případech ▼

• [L] označuje, že aktuální pravidlo je posledním pravidlem, přestaňte analyzovat následující pravidla přepisování.
• Takže při přístupu na stránku s přesměrovaným článkem [L] zastaví následující pravidla, takže pravidla přesměrování nefungují.

Při přístupu na domovskou stránku HTTP chceme spustit přesměrování URL, obejít pravidla pro přepisování URL a spustit pravidla přesměrování, aby bylo možné celý web přesměrovat z HTTP na HTTPS.

Neumisťujte pravidla přesměrování HTTPS pod pravidla [L] ; umístěte je nad pravidla [L] . ▼

Rozšířené čtení:

• Jaký je rozdíl mezi http vs https? Podrobné vysvětlení procesu šifrování SSL
• Co mám dělat, když se mi po instalaci certifikátu Let's Encrypt SSL v ovládacím panelu CWP zobrazí chyba 500?
• Automaticky přejít na název domény druhé úrovně bez názvu domény nejvyšší úrovně www: název kořenové domény 301 přesměruje www