Installatie laat coderen met Nginx op Ubuntu 16.04

• Vereisten
• Installeer Certbot
• Nginx configureren
• Het verkrijgen van een Let's Encrypt SSL-certificaat
• Vernieuwing automatiseren
• Verbeterde configuratie

Let's Encrypt is een certificeringsinstantie (CA) die gratis SSL-certificaten levert met een geautomatiseerde client. Door een Let's Encrypt SSL-certificaat te gebruiken, kunt u het verkeer tussen uw website en uw bezoekers versleutelen. Het hele proces is eenvoudig en verlengingen kunnen worden geautomatiseerd. Houd er ook rekening mee dat de installatie of vernieuwing van certificaten geen downtime veroorzaakt.

In deze tutorial gebruiken we Certbot om uw SSL-certificaat te verkrijgen, installeren en automatisch te verlengen. Certbot wordt actief ontwikkeld door de Electronic Frontier Foundation (EFF) en het is de aanbevolen client voor Let's Encrypt.

Vereisten

• Een Vultr-instantie met Ubuntu 16.04
• Een geregistreerde domeinnaam die naar uw server verwijst
• Nginx

Installeer Certbot

Om een ​​Let's Encrypt SSL-certificaat te verkrijgen, moet u de Certbot-client op uw server installeren.

Voeg de repository toe. Druk op de ENTERtoets wanneer u wordt gevraagd om te accepteren.

add-apt-repository ppa:certbot/certbot

Werk de pakketlijst bij.

apt-get update

Ga verder door Certbot en Certbot's Nginx-pakket te installeren.

apt-get -y install python-certbot-nginx

Nginx configureren

Certbot configureert automatisch SSL voor Nginx, maar daarvoor moet het het serverblok in uw Nginx-configuratiebestand vinden. Het doet dit door de server_namerichtlijn in het configuratiebestand te matchen met de domeinnaam waarvoor u een certificaat aanvraagt.

Als je het standaard configuratiebestand gebruikt, /etc/nginx/sites-available/defaultopen het dan met een teksteditor zoals nanoen zoek de server_namerichtlijn. Vervang het onderstrepingsteken`` _door uw eigen domeinna (a) m (en):

nano /etc/nginx/sites-available/default

Na het bewerken van het configuratiebestand zou de server_namerichtlijn er als volgt uit moeten zien. In dit voorbeeld ga ik ervan uit dat uw domein voorbeeld.com is en dat u een certificaat aanvraagt ​​voor voorbeeld.com en www.voorbeeld.com.

server_name example.com www.example.com;

Ga verder door de syntaxis van uw bewerkingen te verifiëren.

nginx -t

Als de syntaxis correct is, start u Nginx opnieuw op om de nieuwe configuratie te gebruiken. Als u foutmeldingen krijgt, opent u het configuratiebestand opnieuw en controleert u op typefouten en probeert u het opnieuw.

systemctl restart nginx

Het verkrijgen van een Let's Encrypt SSL-certificaat

Met de volgende opdracht krijgt u een certificaat. Bewerk uw Nginx-configuratie om deze te gebruiken en laad Nginx opnieuw.

certbot --nginx -d example.com -d www.example.com

Voor extra domeinen kunt u ook een SSL-certificaat aanvragen. Voeg de " -d" optie zo vaak toe als je wilt.

certbot --nginx -d example.com -d www.example.com -d example.net -d example.net

Als u alleen het certificaat van Let's Encrypt wilt verkrijgen zonder het automatisch te installeren, kunt u de volgende opdracht gebruiken. Dit brengt tijdelijke wijzigingen aan in uw Nginx-configuratie om het certificaat te verkrijgen en zet ze terug zodra het certificaat is gedownload.

certbot --nginx certonly -d example.com -d www.example.com

Als u Certbot voor de eerste keer gebruikt, wordt u gevraagd een e-mailadres in te voeren en akkoord te gaan met de servicevoorwaarden. Dit e-mailadres wordt gebruikt voor verlengings- en beveiligingsmededelingen. Nadat u een e-mailadres heeft opgegeven, vraagt ​​Certbot een certificaat aan bij Let's Encrypt en voert een uitdaging uit om te verifiëren dat u het betreffende domein beheert.

Als Certbot een SSL-certificaat kan verkrijgen, zal het vragen hoe u uw HTTPSinstellingen wilt configureren . U kunt bezoekers omleiden die uw website bezoeken via een onbeveiligde verbinding of hen toegang geven via een onbeveiligde verbinding. Dit moet meestal zijn ingeschakeld omdat het ervoor zorgt dat bezoekers alleen toegang hebben tot de SSL-beveiligde versie van uw website. Selecteer uw keuze en druk vervolgens op ENTER.

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

Ten slotte zal Certbot bevestigen dat het proces is geslaagd en waar uw certificaten zijn opgeslagen. Uw certificaten zijn nu gedownload en geïnstalleerd.

Vernieuwing automatiseren

Omdat Let's Encrypt een gratis certificeringsinstantie is en om gebruikers aan te moedigen het verlengingsproces te automatiseren, zijn certificaten slechts 90 dagen geldig. Certbot zorgt automatisch voor het vernieuwen van certificaten. Het doet dit door certbot renewtweemaal per dag via te lopen systemd.

U kunt controleren of automatische verlenging werkt door deze opdracht uit te voeren.

certbot renew --dry-run

U kunt uw certificaat ook op elk moment handmatig verlengen door de volgende opdracht uit te voeren.

certbot renew

Verbeterde configuratie

De bovenstaande opdrachten verkrijgen en installeren het SSL-certificaat met een configuratie die in de meeste gevallen geschikt is. Als u geavanceerde beveiligingsmaatregelen voor uw website wilt implementeren, kunt u de volgende opdracht gebruiken om het certificaat te verkrijgen.

certbot --nginx --rsa-key-size 4096 --must-staple -d example.com -d www.example.com

Het --rsa-key-size 4096gebruikt een 4096-bits RSA-sleutel in plaats van een 2048-bits sleutel, die veiliger is. De keerzijde hiervan is dat een grotere sleutel resulteert in een lichte overhead. Bovendien ondersteunen oudere browsers en apparaten mogelijk geen 4096-bit RSA-sleutels.

Het --must-staplevoegt de OCSP Must Staple-extensie toe aan het certificaat en configureert Nginx voor OCSP-nieten. Met deze extensie kunnen browsers controleren of uw certificaat niet is ingetrokken en kan worden vertrouwd. Niet alle browsers ondersteunen deze functie echter.