Instale Wildcard Certs de Lets Encrypt en Nginx en Ubuntu 19.04

• Requisitos
• Antes de que empieces
• Instalar Nginx
• Instalar Python y Lexicon
• Instalar el cliente acme.sh
• Obtenga certificados comodín de Let's Encrypt
• Configurar el servidor web Nginx

En marzo de 2018, Let's Encrypt agregó soporte para certificados comodín. Los certificados comodín le permiten proteger todos los subdominios de primer nivel de un dominio con un solo certificado. Los certificados comodín solo se pueden obtener a través de ACMEv2, que es una versión actualizada del protocolo ACME. Para utilizar ACMEv2 para certificados comodín o no comodín, necesitará un cliente que se haya actualizado para admitir ACMEv2. Uno de esos clientes es acme.sh, que es un cliente de protocolo ACME / ACMEv2 escrito exclusivamente en lenguaje Shell (shell Unix) sin ninguna dependencia. Además, los dominios comodín deben validarse utilizando el tipo de desafío DNS-01. Eso implica que debe modificar los registros TXT de DNS para probar el control sobre un dominio y obtener un certificado comodín.

En esta guía, explicamos cómo obtener e implementar certificados comodín gratuitos de Let's Encrypt en Ubuntu 19.04 utilizando el acme.shcliente, la herramienta Lexicon para la manipulación automática de registros DNS mediante el consumo de la API de Vultr e implementar certificados en el servidor web Nginx.

Requisitos

• Servidor en la nube Ubuntu 19.04 Vultr recientemente implementado.
• Tienes un nombre de dominio registrado. Esta guía utiliza example.comcomo un dominio de ejemplo.
• Asegúrese de haber establecido registros DNS A / AAAA y CNAME para su nombre de dominio completo (FQDN). Es posible que desee consultar el tutorial Introducción a DNS de Vultr si necesita familiarizarse con los conceptos de DNS.
• Acceso a la API de Vultr habilitado en el panel de control de su cuenta de Vultr.

Antes de que empieces

Verifica la versión de Ubuntu.

lsb_release -ds
# Ubuntu 19.04

Cree una nueva cuenta de usuario con sudoacceso y su nombre de usuario preferido y cambie a ella. Nosotros usamos johndoe.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

NOTA : Reemplace johndoecon su nombre de usuario.

Configura la zona horaria.

sudo dpkg-reconfigure tzdata

Asegúrese de que su sistema Ubuntu esté actualizado.

sudo apt update && sudo apt upgrade -y

Instala los paquetes necesarios.

sudo apt install -y git wget curl socat

Instalar Nginx

Instale el servidor web Nginx.

sudo apt install -y nginx

Mira esta versión.

sudo nginx -v
# nginx version: nginx/1.15.9 (Ubuntu)

Instalar Python y Lexicon

Como primer paso en el proceso de obtener certificados comodín de Let's Encrypt usando acme.sh y Vultr API, debe instalar Python y Lexicon . Lexicon es un paquete de Python que proporciona una forma de manipular registros DNS en múltiples proveedores DNS de manera estandarizada.

Instale Python si aún no está instalado en su sistema.

sudo apt install -y python3

Confirme la instalación verificando la versión.

python3 --version
# Python 3.7.3

Instale la herramienta Lexicon. Un léxico es una herramienta de Python que le permite manipular registros DNS en varios proveedores de DNS de manera estandarizada.

sudo apt install -y lexicon

Verifique la versión de Lexicon.

lexicon --version
# lexicon 3.0.8

Instalar acme.shcliente

Acme.shes un cliente de protocolo ACME escrito exclusivamente en lenguaje Shell (shell Unix) que automatiza el proceso de obtener un certificado firmado a través de Let's Encrypt. Es compatible con ACME v1 y ACME v2, y lo más importante es que admite certificados comodín ACME v2. En esta sección, instalamos un script Acme.sh.

NOTA: Se recomienda utilizar el rootusuario para instalar acme.sh, aunque no requiere root/ sudoacceso.

Cambie al rootusuario del usuario normal si lo ha creado.

sudo su - root

Descargue e instale acme.sh.

git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh
./acme.sh --install --accountemail "[email protected]"
source ~/.bashrc
cd

Mira esta versión.

acme.sh --version
# v2.8.2

Obtenga certificados comodín de Let's Encrypt

Para obtener un certificado comodín, solo podemos usar el método de validación DNS. Utilizamos Lexicon y Vultr DNS API para manipular los registros TXT DNS.

Obtenga certificados comodín RSA y ECC para su dominio.

# Configure your API key and username
export PROVIDER=vultr
export LEXICON_VULTR_USERNAME="[email protected]"
export LEXICON_VULTR_TOKEN="XXXXXXXXXXXXXXX"

# RSA 2048
acme.sh --issue --dns dns_lexicon -d example.com -d '*.example.com' --keylength 2048
# ECC 256
acme.sh --issue --dns dns_lexicon -d example.com -d '*.example.com' --keylength ec-256

NOTA : No olvide reemplazar example.comcon su nombre de dominio y reemplace los valores de marcador de posición de la API de Vultr con los suyos.

Después de ejecutar los comandos anteriores, sus certificados y claves están en:

• Para RSA: ~/.acme.sh/example.comdirectorio.
• Para ECC / ECDSA: ~/.acme.sh/example.com_eccdirectorio.

NOTA : No debe usar los archivos cert en la ~/.acme.sh/carpeta, son solo para uso interno, la estructura del directorio puede cambiar en el futuro.

Para enumerar sus certificados, puede ejecutar:

acme.sh --list

Cree una carpeta para almacenar sus certificados en producción. Usamos el /etc/letsencryptdirectorio

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instale / copie certificados para uso de producción en su servidor.

# RSA
acme.sh --install-cert -d example.com \
        --cert-file /etc/letsencrypt/example.com/cert.pem \
        --key-file /etc/letsencrypt/example.com/private.key \
        --fullchain-file /etc/letsencrypt/example.com/fullchain.pem \
        --reloadcmd "sudo systemctl reload nginx.service"

# ECC/ECDSA
acme.sh --install-cert -d example.com --ecc \
        --cert-file /etc/letsencrypt/example.com_ecc/cert.pem \
        --key-file /etc/letsencrypt/example.com_ecc/private.key \
        --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem \
        --reloadcmd "sudo systemctl reload nginx.service"

Ahora que hemos obtenido con éxito los certificados comodín de Let's Encrypt, necesitamos configurar el servidor web Nginx. Todos los certificados se renuevan automáticamente cada 60 días.

Después de obtener e instalar certificados en su ubicación preferida, puede cerrar sesión de rootusuario a sudousuario normal y continuar administrando su servidor mediante el uso sudosi es necesario.

exit

Configurar el servidor web Nginx

Ejecute sudo vim /etc/nginx/sites-available/example.com.confy complete el archivo con el siguiente contenido. Sustituya todas las apariciones de example.comcon su propio nombre de dominio.

server {

  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com *.example.com;
  root /var/www/example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

}

Active la nueva example.com.confconfiguración vinculando el archivo al sites-enableddirectorio.

sudo ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled/

Probar la configuración de Nginx.

sudo nginx -t

Recargar Nginx.

sudo systemctl reload nginx.service

Eso es. Implementamos certificados comodín en Nginx, utilizando acme.sh, Lexicon y Vultr API. Los certificados comodín pueden ser útiles cuando desea asegurar múltiples subdominios de primer nivel generados dinámicamente.