Lets Encrypt gebruiken op OpenBSD 6.1

Het is niet langer nodig dat iemand zijn eigen SSL-certificaten maakt, omdat u nu uw eigen gratis, geldige SSL-certificaat kunt krijgen van Let's Encrypt . Dit certificaat is alleen gevalideerd voor het domein, dus het mag niet worden gebruikt voor e-commerce. Het door Let's Encrypt uitgegeven certificaat kan geldig zijn voor primaire en subdomeinen die u opgeeft, maar Let's Encrypt ondersteunt nog geen jokertekencertificaten. OpenBSD bevat een Let's Encrypt-client genaamd acme-client.

OPMERKING: vergeet niet te vervangen example.orgdoor uw domein .

Configureer het /etc/acme-client.confconfiguratiebestand.

# cd /etc
# vi acme-client.conf

Voeg het volgende toe aan het bestand. Het domain full chaincertificaat bevat de Let's Encrypt SSL-keten, wat handig is voor validatie. Hier zullen we de volledige ketting gebruiken in plaats van de domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Configureer en start httpd.conf. De acme-client gebruikt een webserver om zijn uitdagingen uit te voeren om de geldigheid van het domein te verifiëren. Deze uitdagingen moeten succesvol zijn om een ​​geldig, ondertekend certificaat te kunnen afgeven.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Type acme-client -ADv example.org. u zou nu een geldig SSL-certificaat moeten hebben. Het is 90 dagen geldig voordat u acme-client opnieuw moet uitvoeren om het certificaat opnieuw te krijgen.

Als je fouten krijgt, zorg er dan voor dat je port 80open staat op je firewall. U hebt een DNS A-record nodig dat wordt example.orgomgezet in het IP-adres van uw Vultr-instantie.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf