يتيح برنامج الإعداد التشفير باستخدام Nginx على Ubuntu 16.04

• المتطلبات الأساسية
• قم بتثبيت Certbot
• تكوين Nginx
• الحصول على شهادة Let's Encrypt SSL
• التجديد الآلي
• التكوين المحسن

Let's Encrypt هي مرجع مصدق (CA) يوفر شهادات SSL مجانية مع عميل مؤتمت. باستخدام شهادة Let's Encrypt SSL ، يمكنك تشفير حركة المرور بين موقعك على الويب وزوارك. العملية بأكملها بسيطة ، ويمكن أن تكون التجديدات مؤتمتة. لاحظ أيضًا أن تثبيت الشهادات أو تجديدها لا يسبب أي تعطل.

في هذا البرنامج التعليمي ، سنستخدم Certbot للحصول على شهادة SSL وتثبيتها وتجديدها تلقائيًا. يتم تطوير Certbot بنشاط من قبل مؤسسة Electronic Frontier Foundation (EFF) وهو العميل الموصى به لـ Let's Encrypt.

المتطلبات الأساسية

• نسخة Vultr تعمل بنظام Ubuntu 16.04
• اسم مجال مسجل يشير إلى الخادم الخاص بك
• Nginx

قم بتثبيت Certbot

للحصول على شهادة Let's Encrypt SSL ، يجب عليك تثبيت عميل Certbot على الخادم الخاص بك.

أضف المستودع. اضغط على ENTERالمفتاح عند مطالبتك بالقبول.

add-apt-repository ppa:certbot/certbot

تحديث قائمة الحزمة.

apt-get update

تابع بتثبيت Certbot وحزمة Nginx الخاصة بـ Certbot.

apt-get -y install python-certbot-nginx

تكوين Nginx

يقوم Certbot تلقائيًا بتكوين SSL لـ Nginx ، ولكن للقيام بذلك ، يحتاج إلى العثور على كتلة الخادم في ملف تكوين Nginx. يتم ذلك عن طريق مطابقة server_nameالتوجيه في ملف التكوين مع اسم المجال الذي تطلب شهادة.

إذا كنت تستخدم ملف التكوين الافتراضي ، فقم /etc/nginx/sites-available/defaultبفتحه باستخدام محرر نصوص مثل nanoالبحث عن server_nameالتوجيه. استبدل الشرطة السفلية _باسم (أسماء) النطاق الخاصة بك:

nano /etc/nginx/sites-available/default

بعد تحرير ملف التكوين ، server_nameيجب أن يبدو التوجيه كما يلي. في هذا المثال ، أفترض أن نطاقك هو example.com وأنك تطلب شهادة لـ example.com و www.example.com.

server_name example.com www.example.com;

تابع بالتحقق من بنية تعديلاتك.

nginx -t

إذا كانت الصيغة صحيحة ، أعد تشغيل Nginx لاستخدام التكوين الجديد. إذا تلقيت أي رسائل خطأ ، فأعد فتح ملف التكوين وتحقق من وجود أي أخطاء إملائية ، ثم حاول مرة أخرى.

systemctl restart nginx

الحصول على شهادة Let's Encrypt SSL

سيحصل الأمر التالي على شهادة لك. قم بتحرير تكوين Nginx لاستخدامه ، وأعد تحميل Nginx.

certbot --nginx -d example.com -d www.example.com

يمكنك أيضًا طلب شهادة SSL للنطاقات الإضافية. ما عليك سوى إضافة -dخيار " " عدة مرات كما تشاء.

certbot --nginx -d example.com -d www.example.com -d example.net -d example.net

في حال كنت ترغب فقط في الحصول على الشهادة من Let's Encrypt بدون تثبيتها تلقائيًا ، يمكنك استخدام الأمر التالي. يؤدي ذلك إلى إجراء تغييرات مؤقتة على تكوين Nginx الخاص بك للحصول على الشهادة وتعيدها بمجرد تنزيل الشهادة.

certbot --nginx certonly -d example.com -d www.example.com

إذا كنت تقوم بتشغيل Certbot للمرة الأولى ، فستتم مطالبتك بإدخال عنوان بريد إلكتروني والموافقة على شروط الخدمة. سيتم استخدام عنوان البريد الإلكتروني هذا للتجديد وإشعارات الأمان. بمجرد تقديم عنوان بريد إلكتروني ، سيطلب Certbot شهادة من Let's Encrypt ويدير تحديًا للتحقق من أنك تتحكم في المجال المعني.

إذا كان يمكن لـ Certbot الحصول على شهادة SSL ، فسوف يسألك عن الطريقة التي تريد بها تكوين HTTPSإعداداتك. يمكنك إما إعادة توجيه الزوار الذين يزورون موقعك على الويب عبر اتصال غير آمن أو السماح لهم بالوصول إليه عبر الاتصال غير الآمن. يجب تمكين هذا عادةً لأنه يضمن وصول الزوار فقط إلى الإصدار المحمي بواسطة SSL من موقع الويب الخاص بك. حدد اختيارك ، ثم اضغط ENTER.

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

أخيرًا ، سيؤكد Certbot نجاح العملية ومكان تخزين الشهادات الخاصة بك. يتم الآن تنزيل وتثبيت شهاداتك.

التجديد الآلي

نظرًا لأن Let's Encrypt هي مرجع مصدق مجاني ولتشجيع المستخدمين على أتمتة عملية التجديد ، فإن الشهادات صالحة لمدة 90 يومًا فقط. سيتولى Certbot تجديد الشهادات تلقائيًا. يفعل ذلك عن طريق الجري certbot renewمرتين في اليوم عبر systemd.

يمكنك التحقق من أن التجديد التلقائي يعمل عن طريق تشغيل هذا الأمر.

certbot renew --dry-run

يمكنك أيضًا تجديد شهادتك يدويًا في أي وقت عن طريق تشغيل الأمر التالي.

certbot renew

التكوين المحسن

تحصل الأوامر أعلاه على شهادة SSL وتثبيتها بتهيئة مناسبة لمعظم الحالات. إذا كنت ترغب في تنفيذ إجراءات أمان متقدمة لموقعك على الويب ، يمكنك استخدام الأمر التالي للحصول على الشهادة.

certbot --nginx --rsa-key-size 4096 --must-staple -d example.com -d www.example.com

و --rsa-key-size 4096يستخدم مفتاح RSA 4096 بت بدلا من 2048 بت الرئيسية، والتي هي أكثر أمنا. الجانب السلبي لهذا هو أن المفتاح الأكبر ينتج عنه زيادة طفيفة في الأداء. بالإضافة إلى ذلك ، قد لا تدعم المستعرضات والأجهزة القديمة مفاتيح RSA 4096 بت.

و --must-stapleيضيف تمديد التيلة OCSP بد للشهادة وتكوين إنجن إكس لOCSP التدبيس. يسمح هذا الملحق للمتصفحات بالتحقق من أن شهادتك لم يتم إبطالها ويمكن الوثوق بها. ومع ذلك ، لا تدعم جميع المتصفحات هذه الميزة.