Korzystanie z Lets Encrypt w OpenBSD 6.1

Nikt nie musi już tworzyć własnych certyfikatów SSL, ponieważ teraz możesz uzyskać swój bezpłatny, ważny certyfikat SSL z Let's Encrypt . Ten certyfikat jest zatwierdzony tylko przez domenę, więc nie należy go używać w eCommerce. Certyfikat wydany przez Let's Encrypt może być ważny dla określonych przez Ciebie domen podstawowych i poddomen, ale Let's Encrypt nie obsługuje jeszcze certyfikatów wieloznacznych. OpenBSD zawiera klienta Let's Encrypt o nazwie acme-client.

UWAGA: Pamiętaj, aby zastąpić example.orgswoją domenę .

Skonfiguruj /etc/acme-client.confplik konfiguracyjny.

# cd /etc
# vi acme-client.conf

Dodaj następujące elementy do pliku. domain full chainCertyfikat zawiera łańcuch Szyfrowanie SSL LET'S, który jest przydatny do sprawdzania poprawności. Tutaj użyjemy pełnego łańcucha zamiast domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Skonfiguruj i uruchom httpd.conf. Klient-klient używa serwera WWW do wykonywania swoich zadań w celu weryfikacji ważności domeny. Wyzwania te muszą zakończyć się powodzeniem, aby można było wydać ważny, podpisany certyfikat.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Wpisz acme-client -ADv example.org. powinieneś teraz mieć ważny certyfikat SSL. Będzie ważny przez 90 dni, zanim będziesz musiał ponownie uruchomić acme-client, aby ponownie wystawić certyfikat.

Jeśli wystąpią jakiekolwiek błędy, upewnij się, że masz port 80otwartą zaporę. Będziesz potrzebował rekordu DNS A, który rozpoznaje example.orgadres IP twojego wystąpienia Vultr.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf