Tachtler's DokuWiki

Homepage | Kontakt | Rechtliche Informationen | Impressum

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Zuletzt angesehen: • let_s_encrypt
tachtler:let_s_encrypt

Inhaltsverzeichnis

Let's Encrypt

Let's Encrypt ist eine kostenlose, automatisierte und offene Zertifizierungsstelle (CA), welche offiziell dem Nutzen der Öffentlichkeit dienen soll. Let's Encrypt ist ein Service der von der Internet Security Research Group (ISRG) zur Verfügung gestellt wird.

Let's Encrypt bietet öffentlich, jedermann digitalen Zertifikate an, um HTTPS (SSL / TLS) Verschlüsselung für Websites zu ermöglichen. Dies wird kostenlos und in einer möglichst benutzerfreundlichen Art und Weise angeboten. Let's Encrypt tut dies, weil Let's Encrypt offiziell ein sichereres und die Privatsphäre respektierendes Internet fördern möchte.

Vorbereitung

Nachfolgend soll die Erstellung eines

  • privaten Schlüssels
  • Zertifikast-Requests
  • Zertifikats

für die Verwendung mit einem Web-Server durchgeführt werden.

Dabei soll das Zertifikat auch Aliase enthalten, so das dieses auch in mehreren virtuellen Hosts eingesetzt werden kann.

Die Erstellung soll durch Verwendung von nachfolgendem Skript durchgeführt werden:

welches unter oben stehendem externen Link heruntergeladen werden kann.

Herunterladen

Nachfolgendes Skript von Lukas Schauer soll dazu verwendet werden, um ohne Unterbrechung des Web-Server Betriebs Zertifikate ausstellen und verlängern zu können.

:!: HINWEIS - Beim Einsatz des Standard-Clients von Let's Encrypt mit dem Namen certbot sind gewisse Einschränkungen gegeben, bzw. dessen Konfiguration ist nicht so komfortabel.

Nachfolgender Befehl, wechselt in das Verzeichnis /opt, in dem auch hier alle weiteren Konfigurationen und Aktionen durchgeführt werden sollen, damit alle benötigten Komponenten später, zentral an einem Speicherort zu finden sind, was meiner Meinung nach die Handhabung insgesamt vereinfacht. 

# cd /opt

Anschliessend kann mit nachfolgendem Befehl das Skript dehydrated unter Angabe eines Ziel-Verzeichnisses und eines abweichenden Namen, unter dem die heruntergeladene Datei gespeichert werden soll, heruntergeladen werden: 

# wget -P /opt -O dehydrated.zip https://github.com/lukas2511/dehydrated/archive/master.zip
--2016-09-16 06:27:03--  https://github.com/lukas2511/dehydrated/archive/master.zip
Resolving github.com (github.com)... 192.30.253.113
Connecting to github.com (github.com)|192.30.253.113|:443... connected.
HTTP request sent, awaiting response... 302 Found
Location: https://codeload.github.com/lukas2511/dehydrated/zip/master [following]
--2016-09-16 06:27:03--  https://codeload.github.com/lukas2511/dehydrated/zip/master
Resolving codeload.github.com (codeload.github.com)... 192.30.253.120
Connecting to codeload.github.com (codeload.github.com)|192.30.253.120|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 75042 (73K) [application/zip]
Saving to: ‘dehydrated.zip’

100%[======================================>] 75,042       233KB/s   in 0.3s   

2016-09-16 06:27:04 (233 KB/s) - ‘dehydrated.zip’ saved [75042/75042]

Installation

Ab hier werden root-Rechte zur Ausführung der nachfolgenden Befehle benötigt. Um root zu werden geben Sie bitte folgenden Befehl ein: 

$ su -
Password:

Mit nachfolgendem Befehl, kann nun die zuvor heruntergeladene Archivdatei dehydrated.zip in das Verzeichnis /opt entpackt werden: 

# unzip -d /opt dehydrated.zip 
Archive:  dehydrated.zip
caeed7d5e306c339e80b7e242db1b1ee98f9a6ca
   creating: /opt/dehydrated-master/
  inflating: /opt/dehydrated-master/.gitignore  
  inflating: /opt/dehydrated-master/.travis.yml  
  inflating: /opt/dehydrated-master/CHANGELOG  
  inflating: /opt/dehydrated-master/LICENSE  
  inflating: /opt/dehydrated-master/README.md  
  inflating: /opt/dehydrated-master/dehydrated  
   creating: /opt/dehydrated-master/docs/
  inflating: /opt/dehydrated-master/docs/dns-verification.md  
  inflating: /opt/dehydrated-master/docs/domains_txt.md  
  inflating: /opt/dehydrated-master/docs/ecc.md  
   creating: /opt/dehydrated-master/docs/examples/
  inflating: /opt/dehydrated-master/docs/examples/config  
  inflating: /opt/dehydrated-master/docs/examples/domains.txt  
  inflating: /opt/dehydrated-master/docs/examples/hook.sh  
  inflating: /opt/dehydrated-master/docs/hook_chain.md  
  inflating: /opt/dehydrated-master/docs/import-from-official-client.md  
  inflating: /opt/dehydrated-master/docs/logo.jpg  
  inflating: /opt/dehydrated-master/docs/per-certificate-config.md  
  inflating: /opt/dehydrated-master/docs/staging.md  
  inflating: /opt/dehydrated-master/docs/troubleshooting.md  
  inflating: /opt/dehydrated-master/docs/wellknown.md  
  inflating: /opt/dehydrated-master/test.sh

Anschliessend sollten nun nachfolgende Verzeichnisse und Dateien entstanden sein, was mit folgendem Befehl überprüft werden kann und in etwa die folgende Ausgabe erzeugen sollte: 

# ls -l *
-rw-r--r-- 1 root root 75042 Sep 16 06:27 dehydrated.zip

dehydrated-master:
total 64
-rw-r--r-- 1 root root  1898 Sep 14 15:11 CHANGELOG
-rwxr-xr-x 1 root root 39373 Sep 14 15:11 dehydrated
drwxr-xr-x 3 root root  4096 Sep 14 15:11 docs
-rw-r--r-- 1 root root  1085 Sep 14 15:11 LICENSE
-rw-r--r-- 1 root root  3690 Sep 14 15:11 README.md
-rwxr-xr-x 1 root root  8004 Sep 14 15:11 test.sh

Als abschliessenden Schritt der Installation, soll nun ebenfalls unter dem Verzeichnis /opt eine Ordnerstruktur mit nachfolgendem Befehl angelegt werden: 

# mkdir -p /opt/dehydrated-master/{alpn-certs,accounts,certs,etc,hook,work,www}

Abschließend ist noch eine Änderung der Besitzrechte für eines der eben neu angelegten Verzeichnisse erforderlich, was mit nachfolgendem Befehl durchgeführt werden kann: 

# chown -R apache:apache /opt/dehydrated-master/www

Mit nachfolgendem Befehl, kann nun überprüft werden, ob alle benötigten Verzeichnisse erstellt worden sind. Dies sollte in etwa wie folgt aussehen: 

# ls -l *
-rw-r--r-- 1 root root 75042 Sep 16 06:27 dehydrated.zip

dehydrated-master:
total 64
drwxr-xr-x 2 root   root       6 Sep 16 08:21 accounts
drwxr-xr-x 2 root   root       6 Sep 16 08:21 alpn-certs
drwxr-xr-x 2 root   root       6 Sep 16 08:21 certs
drwxr-xr-x 2 root   root       6 Sep 16 08:21 chains
-rw-r--r-- 1 root   root    1898 Sep 14 15:11 CHANGELOG
-rwxr-xr-x 1 root   root   39373 Sep 14 15:11 dehydrated
drwxr-xr-x 3 root   root    4096 Sep 14 15:11 docs
drwxr-xr-x 2 root   root       6 Sep 16 08:21 etc
drwxr-xr-x 2 root   root       6 Sep 16 08:21 hook
-rw-r--r-- 1 root   root    1085 Sep 14 15:11 LICENSE
-rw-r--r-- 1 root   root    3690 Sep 14 15:11 README.md
-rwxr-xr-x 1 root   root    8004 Sep 14 15:11 test.sh
drwxr-xr-x 2 root   root       6 Sep 16 08:21 work
drwxr-xr-x 2 apache apache     6 Sep 16 08:21 www

Konfiguration: dehydrated

/opt/dehydrated-master/etc/config

Nachfolgende Konfigurationsdatei muss durch kopieren einer der in der Installation mitgelieferten Beispiel Konfigurationsdatei erstellt werden, was mit nachfolgendem Befehl durchgeführt werden kann: 

# cp -a /opt/dehydrated-master/docs/examples/config /opt/dehydrated-master/etc/config

Anschließend muss die Konfigurationsdatei wie folgt angepasst werden, damit diese, hier beschriebende Installation und Konfiguration, funktionsfähig ist:

(Komplette Konfigurationsdatei) 

########################################################
# This is the main config file for dehydrated          #
#                                                      #
# This file is looked for in the following locations:  #
# $SCRIPTDIR/config (next to this script)              #
# /usr/local/etc/dehydrated/config                     #
# /etc/dehydrated/config                               #
# ${PWD}/config (in current working-directory)         #
#                                                      #
# Default values of this config are in comments        #
########################################################
 
# Which user should dehydrated run as? This will be implictly enforced when running as root
#DEHYDRATED_USER=
 
# Which group should dehydrated run as? This will be implictly enforced when running as root
#DEHYDRATED_GROUP=
 
# Resolve names to addresses of IP version only. (curl)
# supported values: 4, 6
# default: <unset>
# Tachtler
# default: #IP_VERSION=
IP_VERSION=4
 
# Path to certificate authority (default: https://acme-v02.api.letsencrypt.org/directory)
# Tachtler
# default: #CA="https://acme-v02.api.letsencrypt.org/directory"
#CA="https://acme-v02.api.letsencrypt.org/directory"
# Tachtler - TESTING without LIMITATION - IMPORTANT !!!
CA="https://acme-staging-v02.api.letsencrypt.org/directory"
 
# Path to old certificate authority
# Set this value to your old CA value when upgrading from ACMEv1 to ACMEv2 under a different endpoint.
# If dehydrated detects an account-key for the old CA it will automatically reuse that key
# instead of registering a new one.
# default: https://acme-v01.api.letsencrypt.org/directory
#OLDCA="https://acme-v01.api.letsencrypt.org/directory"
 
# Which challenge should be used? Currently http-01, dns-01 and tls-alpn-01 are supported
# default: #CHALLENGTYPE="http-01"
 
# Path to a directory containing additional config files, allowing to override
# the defaults found in the main configuration file. Additional config files
# in this directory needs to be named with a '.sh' ending.
# default: <unset>
#CONFIG_D=
 
# Base directory for account key, generated certificates and list of domains (default: $SCRIPTDIR -- uses config directory if undefined)
# Tachtler
# default: #BASEDIR=$SCRIPTDIR
BASEDIR="${SCRIPTDIR}/work"
 
# File containing the list of domains to request certificates for (default: $BASEDIR/domains.txt)
# Tachtler
# default: #DOMAINS_TXT="${BASEDIR}/domains.txt"
DOMAINS_TXT="${SCRIPTDIR}/etc/domains.txt"
 
# Output directory for generated certificates
# Tachtler
# default: #CERTDIR="${BASEDIR}/certs"
CERTDIR="${SCRIPTDIR}/certs"
 
# Output directory for alpn verification certificates
# Tachtler
# default: #ALPNCERTDIR="${BASEDIR}/alpn-certs"
ALPNCERTDIR="${SCRIPTDIR}/alpn-certs"
 
# Directory for account keys and registration information
# Tachtler
# default: #ACCOUNTDIR="${BASEDIR}/accounts"
ACCOUNTDIR="${SCRIPTDIR}/accounts"
 
# Output directory for challenge-tokens to be served by webserver or deployed in HOOK (default: /var/www/dehydrated)
# Tachtler
# default: #WELLKNOWN="/var/www/dehydrated"
WELLKNOWN="${SCRIPTDIR}/www"
 
# Default keysize for private keys (default: 4096)
#KEYSIZE="4096"
 
# Path to openssl config file (default: <unset> - tries to figure out system default)
#OPENSSL_CNF=
 
# Path to OpenSSL binary (default: "openssl")
#OPENSSL="openssl"
 
# Extra options passed to the curl binary (default: <unset>)
#CURL_OPTS=
 
# Program or function called in certain situations
#
# After generating the challenge-response, or after failed challenge (in this case altname is empty)
# Given arguments: clean_challenge|deploy_challenge altname token-filename token-content
#
# After successfully signing certificate
# Given arguments: deploy_cert domain path/to/privkey.pem path/to/cert.pem path/to/fullchain.pem
#
# BASEDIR and WELLKNOWN variables are exported and can be used in an external program
# default: <unset>
#HOOK=
 
# Chain clean_challenge|deploy_challenge arguments together into one hook call per certificate (default: no)
#HOOK_CHAIN="no"
 
# Minimum days before expiration to automatically renew certificate (default: 30)
# Tachtler
# default: #RENEW_DAYS="30"
RENEW_DAYS="90"
 
# Regenerate private keys instead of just signing new certificates on renewal (default: yes)
# Tachtler
# See: https://legacy.thomas-leister.de/lets-encrypt-mit-hpkp-und-dane/
# default: #PRIVATE_KEY_RENEW="yes"
PRIVATE_KEY_RENEW="no"
 
# Create an extra private key for rollover (default: no)
#PRIVATE_KEY_ROLLOVER="no"
 
# Which public key algorithm should be used? Supported: rsa, prime256v1 and secp384r1
#KEY_ALGO=rsa
 
# E-mail to use during the registration (default: <unset>)
# Tachtler
# default: #CONTACT_EMAIL=
CONTACT_EMAIL=hostmaster@tachtler.net
 
# Lockfile location, to prevent concurrent access (default: $BASEDIR/lock)
#LOCKFILE="${BASEDIR}/lock"
 
# Option to add CSR-flag indicating OCSP stapling to be mandatory (default: no)
#OCSP_MUST_STAPLE="no"
 
# Fetch OCSP responses (default: no)
#OCSP_FETCH="no"
 
# OCSP refresh interval (default: 5 days)
#OCSP_DAYS=5
 
# Issuer chain cache directory (default: $BASEDIR/chains)
# Tachtler
# default: #CHAINCACHE="${BASEDIR}/chains"
CHAINCACHE="${SCRIPTDIR}/chains"
 
# Automatic cleanup (default: no)
#AUTO_CLEANUP="no"
 
# ACME API version (default: auto)
#API=auto

Erklärungen: 

  • IP_VERSION=4

Die Kommunikation mit den Let's Encrypt-Servern soll hier via IP Version 4 erfolgen. 

  • # Tachtler
# default: #CA="https://acme-v02.api.letsencrypt.org/directory"
#CA="https://acme-v02.api.letsencrypt.org/directory"
# Tachtler - TESTING without LIMITATION - IMPORTANT !!!
CA="https://acme-staging-v02.api.letsencrypt.org/directory"

Während der Einrichtung und Test-Phase, sollte nicht gegen die Produktiven Systeme von Let's Encrypt getestet werden, da hier relativ rasch ein Resourcen-Limit von Anfragen in einer bestimmten Zeit greift. Erst wenn das Skript voll funktionsfähig und getestet ist und alle Konfigurationen entsprechend abgeschlossen sind, sollte hier dann das Produktive System von Let's Encrypt konfiguriert werden! 

  • # Base directory for account key, generated certificates and list of domains (default: $SCRIPTDIR -- uses config directory if undefined)
# Tachtler
# default: #BASEDIR=$SCRIPTDIR
BASEDIR="${SCRIPTDIR}/work"
 
# File containing the list of domains to request certificates for (default: $BASEDIR/domains.txt)
# Tachtler
# default: #DOMAINS_TXT="${BASEDIR}/domains.txt"
DOMAINS_TXT="${SCRIPTDIR}/etc/domains.txt"
 
# Output directory for generated certificates
# Tachtler
# default: #CERTDIR="${BASEDIR}/certs"
CERTDIR="${SCRIPTDIR}/certs"
 
# Output directory for alpn verification certificates
# Tachtler
# default: #ALPNCERTDIR="${BASEDIR}/alpn-certs"
ALPNCERTDIR="${SCRIPTDIR}/alpn-certs"
 
# Directory for account keys and registration information
# Tachtler
# default: #ACCOUNTDIR="${BASEDIR}/accounts"
ACCOUNTDIR="${SCRIPTDIR}/accounts"
 
# Output directory for challenge-tokens to be served by webserver or deployed in HOOK (default: /var/www/dehydrated)
# Tachtler
# default: #WELLKNOWN="/var/www/dehydrated"
WELLKNOWN="${SCRIPTDIR}/www"

Anpassung der einzelnen Pfade bzw. Verzeichnisse, in denen die verschiedenen Dateien dann permanent, oder temporär abgelegt werden sollen.

:!: HINWEIS - Diese Konfiguration entspricht der zuvor angelegten Verzeichnisstruktur! 

  • RENEW_DAYS="90"

Leufzeit bzw. Gültigkeit durch Let's Encrypt ausgestellten Zertifikate.

:!: HINWEIS - Hier können maximal 90 Tage eingestellt werden! 

  • PRIVATE_KEY_RENEW="no"

Deaktiviert die Erstellung eines neuen privaten Schlüssels, bei jeder Zertifikatserneuerung.

:!: HINWEIS - Der private Schlüssel sollte trotzdem von Zeit zu Zeit z.B. 1 x Jahr erneuert werden! 

  • CONTACT_EMAIL=hostmaster@tachtler.net

E-Mail-Adresse welche als Kontakt dienen soll. 

  • # Issuer chain cache directory (default: $BASEDIR/chains)
# Tachtler
# default: #CHAINCACHE="${BASEDIR}/chains"
CHAINCACHE="${SCRIPTDIR}/chains"

Anpassung der einzelnen Pfade bzw. Verzeichnisse, in denen die verschiedenen Dateien dann permanent, oder temporär abgelegt werden sollen.

/opt/dehydrated-master/etc/domains.txt

Nachfolgende Konfigurationsdatei muss mit nachfolgendem Befehl, neu angelegt werden und enthält die bis zu 100 Subject Alternative Name (SAN), als Liste durch Leerzeichen getrennt: 

# touch /opt/dehydrated-master/etc/domains.txt

Nachfolgendes Beispiel, zeigt einen möglichen Inhalt der Konfigurationsdatei

  • /opt/dehydrated-master/etc/domains.txt
tachtler.net www.tachtler.net dokuwiki.tachtler.net

Konfiguration: Web-Server

/etc/httpd/conf/httpd.conf

Damit durch die Server von Let's Encrypt via HTTP-Request die Erreichbarkeit der Domain und der Subject Alternative Name (SAN) überprüft werden kann, ist es erforderlich die Konfiguration des Web-Servers bzw. der virtuellen Hosts durch die Erreichbarkeit nachfolgender URL zu erweitern.

Nachfolgendes Beispiel ist für den Apache Web-Server dargestellt.

(Nur relevanter Ausschnitt) 

...
        Alias /.well-known/acme-challenge /opt/dehydrated-master/www
 
        <Location /.well-known/acme-challenge>
                Require all granted
                Satisfy Any
        </Location>
...

Nachfolgende Konfiguration, zeigt ein Beispiel für einen Ausschluss vom URL-rewriting, für einen virtuellen Host:

(Nur relevanter Ausschnitt): 

...
        <IfModule rewrite_module>
                RewriteEngine On
                RewriteCond %{REQUEST_URI} !^/\.well\-known/acme\-challenge/
                RewriteRule .* https://dokuwiki.tachtler.net%{REQUEST_URI} [R=301,L]
        </IfModule>
...

Nachfolgende Konfiguration, zeigt ein Beispiel für einen Ausschluss vom ProxyPass, für einen virtuellen Host: 

...
        ProxyRequests Off
        ProxyPreserveHost On
        ProxyPass /.well-known/acme-challenge !
        ProxyPass / https://192.168.0.100/
        ProxyPassReverse / https://192.168.0.100/
...

/etc/httpd/conf.d/ssl.conf

Um das erstellte Zertifikate und den dazugehörigen Schlüssel auch in der Web-Server-Konfiguration einzubinden, sind nachfolgende Ergänzungen bzw. Änderungen and er Konfigurationsdatei erforderlich:

(Nur relevanter Ausschnitt): 

...
#   Server Certificate:
#   Point SSLCertificateFile at a PEM encoded certificate.  If
#   the certificate is encrypted, then you will be prompted for a
#   pass phrase.  Note that a kill -HUP will prompt again.  A new
#   certificate can be generated using the genkey(1) command.
# Tachtler
#default: # SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateFile /opt/dehydrated-master/certs/tachtler.net/cert.pem
 
#   Server Private Key:
#   If the key is not combined with the certificate, use this
#   directive to point at the key file.  Keep in mind that if
#   you've both a RSA and a DSA private key you can configure
#   both in parallel (to also allow the use of DSA ciphers, etc.)
# Tachtler
#default: # SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
SSLCertificateKeyFile /opt/dehydrated-master/certs/tachtler.net/privkey.pem
 
#   Server Certificate Chain:
#   Point SSLCertificateChainFile at a file containing the
#   concatenation of PEM encoded CA certificates which form the
#   certificate chain for the server certificate. Alternatively
#   the referenced file can be the same as SSLCertificateFile
#   when the CA certificates are directly appended to the server
#   certificate for convinience.
# Tachtler
#default: #SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt
SSLCertificateChainFile /opt/dehydrated-master/certs/tachtler.net/chain.pem
 
#   Certificate Authority (CA):
#   Set the CA certificate verification path where to find CA
#   certificates for client authentication or alternatively one
#   huge file containing all of them (file must be PEM encoded)
# Tachtler
#default: #SSLCACertificateFile /etc/pki/tls/certs/ca-bundle.crt
SSLCACertificateFile /opt/dehydrated-master/certs/tachtler.net/fullchain.pem
...

Abschließend ist ein Neustart des Web-Servers, hier Apache HTTPD Server mit nachfolgendem Befehl erforderlich: 

# systemctl restart httpd.service

Generierung: Test

Durch nachfolgenden Befehl, wird die Erstellung eines

  • privaten Schlüssels
  • Zertifikast-Requests
  • Zertifikats

und einer

  • einfachen Zertifikatskette
  • vollständigen Zertifikatskette

für die Verwendung mit einem Web-Server durchgeführt werden.

:!: WICHTIG - Während der Einrichtung und Test-Phase, sollte nicht gegen die Produktiven Systeme von Let's Encrypt getestet werden, da hier relativ rasch ein Resourcen-Limit von Anfragen in einer bestimmten Zeit greift. Erst wenn das Skript voll funktionsfähig und getestet ist und alle Konfigurationen entsprechend abgeschlossen sind, sollte hier dann das Produktive System von Let's Encrypt konfiguriert werden!

Deshalb sollte in der Konfigurationsdatei

  • /opt/dehydrated-master/etc/config

nachfolgende Einstellung erst geändert werden, wenn die Test-Phase erfolgreich abgeschlossen ist! 

  • # Tachtler
# default: #CA="https://acme-v02.api.letsencrypt.org/directory"
#CA="https://acme-v02.api.letsencrypt.org/directory"
# Tachtler - TESTING without LIMITATION - IMPORTANT !!!
CA="https://acme-staging-v02.api.letsencrypt.org/directory"

Bei der ersten Generierung von Zertifikaten, muss eine Registrierung einmalig erfolgen, welche mit nachfolgendem Befehl durchgeführt werden kann: 

# /opt/dehydrated-master/dehydrated --register --accept-terms --config /opt/dehydrated-master/etc/config

* Danke für den Hinweis an: Frank Kirschner

:!: HINWEIS - Die zusätzlichen Parameter 

--register --accept-terms

können bei weiteren Zertifikatserstellungen, weg gelassen werden! 

# /opt/dehydrated-master/dehydrated -c --config /opt/dehydrated-master/etc/config

Hier die Ausgaben, welche durch den Skriptlauf erzeugt werden: 

# /opt/dehydrated-master/dehydrated -c --config /opt/dehydrated-master/etc/config
# INFO: Using main config file /opt/dehydrated-master/etc/config
+ Generating account key...
+ Registering account key with ACME server...
Processing tachtler.net with alternative names: www.tachtler.net dokuwiki.tachtler.net
 + Signing domains...
 + Creating new directory /opt/dehydrated-master/certs/tachtler.net ...
 + Generating private key...
 + Generating signing request...
 + Requesting challenge for tachtler.net...
 + Requesting challenge for www.tachtler.net...
 + Requesting challenge for dokuwiki.tachtler.net...
 + Responding to challenge for tachtler.net...
 + Challenge is valid!
 + Responding to challenge for www.tachtler.net...
 + Challenge is valid!
 + Responding to challenge for dokuwiki.tachtler.net...
 + Challenge is valid!
 + Requesting certificate...
 + Checking certificate...
 + Done!
 + Creating fullchain.pem...
 + Done!

Anschließend kann mit nachfolgendem Befehl überprüft werden, ob alle benötigten Komponenten, wie:

  • privaten Schlüssels
  • Zertifikast-Requests
  • Zertifikat
  • einfachen Zertifikatskette
  • vollständigen Zertifikatskette

erzeugt worden sind: 

# ls -l /opt/dehydrated-master/certs/*
total 24
-rw------- 1 root root 3069 Sep 16 14:06 cert-1474027589.csr
-rw------- 1 root root 3508 Sep 16 14:10 cert-1474027589.pem
lrwxrwxrwx 1 root root   19 Sep 16 14:10 cert.csr -> cert-1474027589.csr
lrwxrwxrwx 1 root root   19 Sep 16 14:10 cert.pem -> cert-1474027589.pem
-rw------- 1 root root 1679 Sep 16 14:10 chain-1474027589.pem
lrwxrwxrwx 1 root root   20 Sep 16 14:10 chain.pem -> chain-1474027589.pem
-rw------- 1 root root 5187 Sep 16 14:10 fullchain-1474027589.pem
lrwxrwxrwx 1 root root   24 Sep 16 14:10 fullchain.pem -> fullchain-1474027589.pem
-rw------- 1 root root 3243 Sep 16 14:06 privkey-1474027589.pem
lrwxrwxrwx 1 root root   22 Sep 16 14:10 privkey.pem -> privkey-1474027589.pem

:!: HINWEIS - Hier ist ebenfalls schön zu sehen, da jeweils symbolische Links erstellt wurden, was bei einer erneuten Generierung keine Konfiguration in den Web-Server Konfigurationsdateien nach sich zieht, da nur die symblischen Links angepasst werden!

Generierung

Wie auch bei der Generierung des Zertifikas gegen die Let's Encrypt-Server, ist Vorgehensweise exakt die gleiche.

:!: WICHTIG - Während der Einrichtung und Test-Phase, sollte nicht gegen die Produktiven Systeme von Let's Encrypt getestet werden, da hier relativ rasch ein Resourcen-Limit von Anfragen in einer bestimmten Zeit greift. Erst wenn das Skript voll funktionsfähig und getestet ist und alle Konfigurationen entsprechend abgeschlossen sind, sollte hier dann das Produktive System von Let's Encrypt konfiguriert werden!

Deshalb sollte in der Konfigurationsdatei

  • /opt/dehydrated-master/etc/config

nachfolgende Einstellung jetzt geändert werden, wenn die Test-Phase erfolgreich abgeschlossen ist! 

  • # Tachtler
# default: #CA="https://acme-v02.api.letsencrypt.org/directory"
CA="https://acme-v02.api.letsencrypt.org/directory"
# Tachtler - TESTING without LIMITATION - IMPORTANT !!!
#CA="https://acme-staging-v02.api.letsencrypt.org/directory"
# /opt/dehydrated-master/dehydrated -c --config /opt/dehydrated-master/etc/config
Diese Website verwendet Cookies. Durch die Nutzung der Website stimmen Sie dem Speichern von Cookies auf Ihrem Computer zu. Außerdem bestätigen Sie, dass Sie unsere Datenschutzbestimmungen gelesen und verstanden haben. Wenn Sie nicht einverstanden sind, verlassen Sie die Website.Weitere Information
tachtler/let_s_encrypt.txt · Zuletzt geändert: 2021/06/04 20:54 von klaus