استخدام Lets Encrypt على OpenBSD 6.1

لم تعد هناك حاجة لأي شخص لإنشاء شهادات SSL الخاصة به لأنه الآن يمكنك الحصول على شهادة SSL المجانية الخاصة بك من Let's Encrypt . تم التحقق من صحة هذه الشهادة فقط ، لذا لا ينبغي استخدامها للتجارة الإلكترونية. يمكن أن تكون الشهادة الصادرة عن Let's Encrypt صالحة للنطاقات الأساسية والفرعية التي تحددها ، لكن Let's Encrypt لا تدعم حتى الآن شهادات أحرف البدل. يتضمن OpenBSD عميل Let's Encrypt يسمى acme-client.

ملاحظة: يرجى تذكر استبدال example.orgالمجال الخاص بك .

تكوين /etc/acme-client.confملف التكوين.

# cd /etc
# vi acme-client.conf

أضف ما يلي إلى الملف. و domain full chainشهادة تتضمن سلسلة تشفير SSL ودعونا، وهو أمر مفيد للمصادقة عليها. هنا ، سوف نستخدم السلسلة الكاملة بدلاً من domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

تكوين والبدء httpd.conf. يستخدم العميل acme خادم ويب لأداء تحدياته للتحقق من صحة المجال. يجب أن تكون هذه التحديات ناجحة من أجل إصدار شهادة موقعة صالحة.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

اكتب acme-client -ADv example.org. يجب أن يكون لديك الآن شهادة SSL صالحة. سيكون صالحًا لمدة 90 يومًا قبل أن تضطر إلى تشغيل برنامج acme-client مرة أخرى لإعادة إصدار الشهادة.

إذا حصلت على أي أخطاء ، فتأكد من أنك port 80فتحت على جدار الحماية الخاص بك. ستحتاج إلى سجل DNS A يحل example.orgإلى عنوان IP لمثيل Vultr الخاص بك.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf