Verwenden von Lets Encrypt unter OpenBSD 6.1

Es ist nicht mehr erforderlich, dass jemand seine eigenen SSL-Zertifikate erstellen muss, da Sie jetzt Ihr eigenes kostenloses, gültiges SSL-Zertifikat von Let's Encrypt erhalten können . Dieses Zertifikat ist nur domänenvalidiert und sollte daher nicht für den E-Commerce verwendet werden. Das von Let's Encrypt ausgestellte Zertifikat kann für die von Ihnen angegebenen Primär- und Subdomänen gültig sein, Let's Encrypt unterstützt jedoch noch keine Platzhalterzertifikate. OpenBSD enthält einen Let's Encrypt-Client namens acme-client.

HINWEIS: Bitte denken Sie daran, diese durch example.orgIhre Domain zu ersetzen .

Konfigurieren Sie die /etc/acme-client.confKonfigurationsdatei.

# cd /etc
# vi acme-client.conf

Fügen Sie der Datei Folgendes hinzu. Das domain full chainZertifikat enthält die SSL-Kette Let's Encrypt, die für die Validierung hilfreich ist. Hier verwenden wir die gesamte Kette anstelle der domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Konfigurieren und starten httpd.conf. Der acme-Client verwendet einen Webserver, um seine Herausforderungen auszuführen und die Gültigkeit der Domäne zu überprüfen. Diese Herausforderungen müssen erfolgreich sein, damit ein gültiges, signiertes Zertifikat ausgestellt werden kann.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Typ acme-client -ADv example.org. Sie sollten jetzt ein gültiges SSL-Zertifikat haben. Es ist 90 Tage gültig, bevor Sie acme-client erneut ausführen müssen, um das Zertifikat erneut auszustellen.

Wenn Sie Fehler erhalten, stellen Sie sicher, dass port 80Ihre Firewall geöffnet ist. Sie benötigen einen DNS A- example.orgEintrag , der in die IP-Adresse Ihrer Vultr-Instanz aufgelöst wird.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf