Setup Ermöglicht die Verschlüsselung mit Nginx unter Ubuntu 16.04

• Voraussetzungen
• Installieren Sie Certbot
• Nginx konfigurieren
• Erhalten eines Let's Encrypt SSL-Zertifikats
• Erneuerung automatisieren
• Erweiterte Konfiguration

Let's Encrypt ist eine Zertifizierungsstelle (Certificate Authority, CA), die kostenlose SSL-Zertifikate mit einem automatisierten Client bereitstellt. Mit einem Let's Encrypt SSL-Zertifikat können Sie den Datenverkehr zwischen Ihrer Website und Ihren Besuchern verschlüsseln. Der gesamte Prozess ist einfach und Verlängerungen können automatisiert werden. Beachten Sie außerdem, dass die Installation oder Erneuerung von Zertifikaten keine Ausfallzeiten verursacht.

In diesem Tutorial verwenden wir Certbot, um Ihr SSL-Zertifikat zu erhalten, zu installieren und automatisch zu erneuern. Certbot wird von der Electronic Frontier Foundation (EFF) aktiv entwickelt und ist der empfohlene Client für Let's Encrypt.

Voraussetzungen

• Eine Vultr-Instanz unter Ubuntu 16.04
• Ein registrierter Domainname, der auf Ihren Server verweist
• Nginx

Installieren Sie Certbot

Um ein Let's Encrypt SSL-Zertifikat zu erhalten, müssen Sie den Certbot-Client auf Ihrem Server installieren.

Fügen Sie das Repository hinzu. Drücken Sie die ENTERTaste, wenn Sie zur Annahme aufgefordert werden.

add-apt-repository ppa:certbot/certbot

Aktualisieren Sie die Paketliste.

apt-get update

Fahren Sie fort, indem Sie Certbot und das Nginx-Paket von Certbot installieren.

apt-get -y install python-certbot-nginx

Nginx konfigurieren

Certbot konfiguriert SSL automatisch für Nginx. Dazu muss jedoch der Serverblock in Ihrer Nginx-Konfigurationsdatei gefunden werden. Dazu wird die server_nameDirektive in der Konfigurationsdatei mit dem Domänennamen abgeglichen, für den Sie ein Zertifikat anfordern.

Wenn Sie die Standardkonfigurationsdatei verwenden, /etc/nginx/sites-available/defaultöffnen Sie sie mit einem Texteditor wie nanound suchen Sie die server_nameDirektive. Ersetzen Sie den Unterstrich _durch Ihre eigenen Domainnamen:

nano /etc/nginx/sites-available/default

Nach dem Bearbeiten der Konfigurationsdatei sollte die server_nameAnweisung wie folgt aussehen. In diesem Beispiel gehe ich davon aus, dass Ihre Domain example.com ist und Sie ein Zertifikat für example.com und www.example.com anfordern.

server_name example.com www.example.com;

Überprüfen Sie anschließend die Syntax Ihrer Änderungen.

nginx -t

Wenn die Syntax korrekt ist, starten Sie Nginx neu, um die neue Konfiguration zu verwenden. Wenn Sie Fehlermeldungen erhalten, öffnen Sie die Konfigurationsdatei erneut und suchen Sie nach Tippfehlern. Versuchen Sie es dann erneut.

systemctl restart nginx

Erhalten eines Let's Encrypt SSL-Zertifikats

Mit dem folgenden Befehl erhalten Sie ein Zertifikat. Bearbeiten Sie Ihre Nginx-Konfiguration, um sie zu verwenden, und laden Sie Nginx neu.

certbot --nginx -d example.com -d www.example.com

Sie können auch ein SSL-Zertifikat für zusätzliche Domänen anfordern. Fügen Sie einfach die -dOption " " so oft hinzu, wie Sie möchten.

certbot --nginx -d example.com -d www.example.com -d example.net -d example.net

Wenn Sie das Zertifikat nur von Let's Encrypt erhalten möchten, ohne es automatisch zu installieren, können Sie den folgenden Befehl verwenden. Dadurch werden vorübergehende Änderungen an Ihrer Nginx-Konfiguration vorgenommen, um das Zertifikat zu erhalten, und diese werden zurückgesetzt, sobald das Zertifikat heruntergeladen wurde.

certbot --nginx certonly -d example.com -d www.example.com

Wenn Sie Certbot zum ersten Mal ausführen, werden Sie aufgefordert, eine E-Mail-Adresse einzugeben und den Nutzungsbedingungen zuzustimmen. Diese E-Mail-Adresse wird für Erneuerungs- und Sicherheitshinweise verwendet. Sobald Sie eine E-Mail-Adresse angegeben haben, fordert Certbot ein Zertifikat von Let's Encrypt an und führt eine Herausforderung aus, um zu überprüfen, ob Sie die betreffende Domain kontrollieren.

Wenn Certbot ein SSL-Zertifikat erhalten kann, werden Sie gefragt, wie Sie Ihre HTTPSEinstellungen konfigurieren möchten . Sie können Besucher, die Ihre Website besuchen, entweder über eine ungesicherte Verbindung umleiten oder über die ungesicherte Verbindung darauf zugreifen lassen. Dies sollte normalerweise aktiviert sein, da dadurch sichergestellt wird, dass Besucher nur auf die SSL-geschützte Version Ihrer Website zugreifen. Wählen Sie Ihre Wahl und drücken Sie ENTER.

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

Schließlich bestätigt Certbot, dass der Prozess erfolgreich war und wo Ihre Zertifikate gespeichert sind. Ihre Zertifikate werden jetzt heruntergeladen und installiert.

Erneuerung automatisieren

Da Let's Encrypt eine kostenlose Zertifizierungsstelle ist und Benutzer dazu ermutigt werden sollen, den Erneuerungsprozess zu automatisieren, sind Zertifikate nur 90 Tage gültig. Certbot kümmert sich automatisch um die Erneuerung von Zertifikaten. Dies geschieht, indem certbot renewzweimal pro Tag über ausgeführt wird systemd.

Sie können überprüfen, ob die automatische Verlängerung funktioniert, indem Sie diesen Befehl ausführen.

certbot renew --dry-run

Sie können Ihr Zertifikat auch jederzeit manuell erneuern, indem Sie den folgenden Befehl ausführen.

certbot renew

Erweiterte Konfiguration

Mit den obigen Befehlen erhalten und installieren Sie das SSL-Zertifikat mit einer Konfiguration, die für die meisten Fälle geeignet ist. Wenn Sie erweiterte Sicherheitsmaßnahmen für Ihre Website implementieren möchten, können Sie den folgenden Befehl verwenden, um das Zertifikat abzurufen.

certbot --nginx --rsa-key-size 4096 --must-staple -d example.com -d www.example.com

Der --rsa-key-size 4096verwendet einen 4096-Bit-RSA-Schlüssel anstelle eines 2048-Bit-Schlüssels, was sicherer ist. Der Nachteil dabei ist, dass ein größerer Schlüssel zu einem leichten Leistungsaufwand führt. Darüber hinaus unterstützen ältere Browser und Geräte möglicherweise keine 4096-Bit-RSA-Schlüssel.

Das --must-staplefügt dem Zertifikat die Erweiterung OCSP Must Staple hinzu und konfiguriert Nginx für das OCSP-Heften. Mit dieser Erweiterung können Browser überprüfen, ob Ihr Zertifikat nicht widerrufen wurde und vertrauenswürdig ist. Diese Funktion wird jedoch nicht von allen Browsern unterstützt.