Kategoria: Certyfikaty

Czytaj dalej certbot – obsługa certyfiktatów

Przygotowanie – snap
Czytaj dalej certbot installation

# certbot certonly --webroot -w /var/www/html/MYAPP/webroot -d MYDOMAIN.pl

# certbot renew

# certbot delete -d domena.pl

Czytaj dalej Let’s Encrypt – nowy certyfikat

Utworzenie requestu serwera (bez hasła dla klucza)

# openssl req -config openssl-server.cnf 
              -newkey rsa:2048 -sha256 -nodes 
              -out /etc/ssl/requests/h25.csr
              -keyout /etc/ssl/private/h25.pem  -outform PEM

Czytaj dalej openssl – server req + podpis CA

# nano /etc/ssl/openssl-server.cnf

Czytaj dalej openssl – plik konfiguracyjny serwera openssl-server.cnf

Nowy certyfikat serwera: bez CA – na 3 lata – bez zaszyfrowanego klucza

# openssl req -newkey -x509 -nodes rsa:4096 -days 1089 
              -keyout /etc/ssl/private/serverkey.pem 
              -out    /etc/ssl/newcerts/servercert.pem

Weryfikacja

# openssl x509 -purpose -in /etc/ssl/newcerts/servercert.pem

Czytaj dalej openssl – certyfikat serwera self-signed – bez CA

https://stackoverflow.com/questions/21297139/how-do-you-sign-a-certificate-signing-request-with-your-certification-authority/21340898#

Plik konfiguracyjny CA

# nano openssl-ca.cnf

Czytaj dalej openssl – plik konfiguracyjny CA – openssl-ca.cnf

Utworzenie CA i certyfikat serwera

Czytaj dalej openssl – utworzenie CA, i certyfikatu serwera

# openssl ciphers -v

TLS_AES_256_GCM_SHA384  TLSv1.3 Kx=any  Au=any  Enc=AESGCM(256) Mac=AEAD

TLS_CHACHA20_POLY1305_SHA256 TLSv1.3 Kx=any Au=any  Enc=CHACHA20/POLY1305(256) Mac=AEAD
....

/etc/apache2/sites-available/000-default.conf

<VirtualHost 156.111.131.212:80> 
  ServerAdmin webmaster@localhost         
  DocumentRoot /var/www/html/h25         
  ServerName h25.pl 
</VirtualHost>

# certbot certonly --webroot -w /var/www/html/h25 -d h25.pl 

/etc/letsencrypt/live/h25.pl/fullchain.pem
/etc/letsencrypt/live/h25.pl/privkey.pem

# certbot renew

Można dodać/usunąć domenę do certyfikatu już istniejącego np. o nazwie example.com:

# certbot certonly --cert-name example.com 
                   -d example.org,www.example.org

Nowy certyfikat będzie zawierał teraz dwie nazwy example.org oraz www.example.org

https://certbot.eff.org/docs/using.html

# certbot certonly --webroot -w /var/www/rewita/webroot 
                             -d tmp.rewita.pl 
                             -d crm.rewita.pl

Czytaj dalej LetsEncrypt – webroot

Odnowienie co 60 dni poprzez moduł wykorzystujący crona

Odnawia wszystkie certyfikaty, które zbliżają się do wygaśnięcia <= 30 dni do końca. Komendę można wydawać codziennie lub raz na tydzień, można dodać do crona.

# certbot renew

Tylko sprawdza działania –dry-run

# certbot renew --dry-run

Zmiana długości klucza z 2048 na 4096

# certbot renew --rsa-key-size 4096

Czytaj dalej Odnowienie certyfikatu

DNS plugin musi być zainstalowany dla dostawcy dns

Lista pluginów

# certbot -a <dns-plugin> -i apache -d "*.example.com" -d example.com --server https://acme-v02.api.letsencrypt.org/directory

Ręczna konfiguracja certyfikatów:

# certbot certonly --authenticator standalone

Przed zainstalowaniem trzeba zatrzymać serwer ręcznie lub za pomocą skryptów:

# certbot certonly --authenticator standalone --pre-hook "apache2ctl -k stop" --post-hook "apache2ctl -k start"

Czytaj dalej Ręczna konfiguracja certyfikatów

https://certbot.eff.org/lets-encrypt/debianstretch-apache

# apt-get install python-certbot-apache -t stretch-backports

# certbot --authenticator webroot --installer apache

Czytaj dalej Certbot