एनक्रिप्ट करें: टीएलएस-एसएनआई -01 से माइग्रेट करना

• समस्या
• सरल HTTP पर स्विच करना
• DNS सत्यापन पर स्विच करना

आइए एनक्रिप्ट एक मुफ्त सेवा है जो आपकी वेबसाइट को सुरक्षित करने के लिए प्रमाण पत्र बनाती है। यह एकल-डोमेन और वाइल्डकार्ड सहित विभिन्न प्रकार के ���्रमाण पत्र बनाने का समर्थन करता है। इसके अलावा, प्रमाण पत्र बनाने के लिए आपके डोमेन को प्रमाणित करने के लिए कई तरीके हैं।

• http-01 (सरल HTTP)
• dns-01 (डीएनएस सत्यापन)
• tls-sni-01(स्व-हस्ताक्षरित प्रमाण पत्र के उपयोग के माध्यम से मान्यता - अब पदावनत )

समस्या

दुर्भाग्य से, 2018 के जनवरी में एक भेद्यता की खोज की गई थी, जहां पूर्व प्रमाणीकरण / प्राधिकरण के बिना डोमेन के लिए प्रमाण पत्र उत्पन्न करना संभव हो गया था। उदाहरण के लिए, उन डोमेन के लिए प्रमाण पत्र तैयार किए जा सकते हैं जो वास्तव में आपके पास नहीं हैं।

कुछ समय बाद, प्रोटोकॉल ( tls-sni-01) बंद कर दिया गया था और अधिकांश नए जारी (नए प्रमाण पत्र) प्रोटोकॉल का उपयोग करने से प्रमाणित करने के लिए अवरुद्ध कर दिए गए थे।

सरल HTTP पर स्विच करना

http-01"सरल HTTP" प्रमाणीकरण पर स्विच करना काफी सरल है। यदि आप certbot-autoअपने प्रमाणपत्र बनाने के लिए उपयोग कर रहे हैं , तो चलो एनक्रिप्ट पहले से ही एक नया प्रमाणपत्र उत्पन्न कर चुके हैं या अगले "नवीनीकरण" के दौरान स्वचालित रूप से ऐसा करेंगे।

यदि आप उपयोग कर रहे हैं certbot, तो आपको --preferred-challengeपैरामीटर का उपयोग करना चाहिए :

certbot (...) --prefered-challenge

यह बताएगा चलो स्विच करने के लिए एन्क्रिप्ट करें http-01।

DNS सत्यापन पर स्विच करना

यदि आप इस परेशानी से बचना चाहते हैं, तो आइए एनक्रिप्ट के डीएनएस सत्यापन को कॉन्फ़िगर करना अपेक्षाकृत आसान है। निष्पादित करते समय certbot, --preferred-challenges dnsएक पैरामीटर के रूप में जोड़ें :

certbot -d example.com --manual --preferred-challenges dns

certbot निम्नलिखित के समान कुछ प्रिंट करेगा:

Please deploy a DNS TXT record under the name
_acme-challenge.example.com with the following value:

(random_string)

Once this is deployed,
Press ENTER to continue

अपने DNS प्रदाता के साथ रिकॉर्ड जोड़ने के बाद, हिट करें ENTER। फिर आपको अपने प्रमाणपत्र को स्वचालित रूप से नवीनीकृत करने के लिए एक CRON नौकरी स्थापित करने की आवश्यकता होगी। जैसा कि DNS सत्यापन का उपयोग किया गया है, आपको अपने http-01(जैसे पोर्ट के 80लिए 443) पोर्ट पुनर्निर्देशन के बारे में चिंता करने की ज़रूरत नहीं होगी ।