Instalação permite criptografar com Nginx no Ubuntu 16.04

• Pré-requisitos
• Instale o Certbot
• Configurando o Nginx
• Obtendo um certificado SSL Let's Encrypt
• Automatizando a renovação
• Configuração aprimorada

Let's Encrypt é uma autoridade de certificação (CA) que fornece certificados SSL gratuitos com um cliente automatizado. Usando um certificado SSL Let's Encrypt, você pode criptografar o tráfego entre o site e os visitantes. Todo o processo é simples e as renovações podem ser automatizadas. Além disso, observe que a instalação ou renovação de certificados não causa nenhum tempo de inatividade.

Neste tutorial, usaremos o Certbot para obter, instalar e renovar automaticamente seu certificado SSL. O Certbot está sendo desenvolvido ativamente pela Electronic Frontier Foundation (EFF) e é o cliente recomendado para o Let's Encrypt.

Pré-requisitos

• Uma instância do Vultr executando o Ubuntu 16.04
• Um nome de domínio registrado apontando para seu servidor
• Nginx

Instale o Certbot

Para obter um certificado SSL Let's Encrypt, você deve instalar o cliente Certbot em seu servidor.

Adicione o repositório. Pressione a ENTERtecla quando solicitado a aceitar.

add-apt-repository ppa:certbot/certbot

Atualize a lista de pacotes.

apt-get update

Prossiga instalando o Certbot e o pacote Nginx do Certbot.

apt-get -y install python-certbot-nginx

Configurando o Nginx

O Certbot configura automaticamente o SSL para Nginx, mas para isso, ele precisa encontrar o bloco do servidor no seu arquivo de configuração do Nginx. Isso é feito combinando a server_namediretiva no arquivo de configuração com o nome de domínio para o qual você está solicitando um certificado.

Se você estiver usando o arquivo de configuração padrão, /etc/nginx/sites-available/defaultabra-o com um editor de texto como nanoe localize a server_namediretiva. Substitua o sublinhado,, _por seus próprios nomes de domínio:

nano /etc/nginx/sites-available/default

Após editar o arquivo de configuração, a server_namediretiva deve ter a seguinte aparência. Neste exemplo, suponho que seu domínio seja example.com e que você esteja solicitando um certificado para example.com e www.example.com.

server_name example.com www.example.com;

Prossiga verificando a sintaxe de suas edições.

nginx -t

Se a sintaxe estiver correta, reinicie o Nginx para usar a nova configuração. Se você receber alguma mensagem de erro, reabra o arquivo de configuração, verifique se há erros de digitação e tente novamente.

systemctl restart nginx

Obtendo um certificado SSL Let's Encrypt

O comando a seguir obterá um certificado para você. Edite sua configuração do Nginx para usá-lo e recarregue o Nginx.

certbot --nginx -d example.com -d www.example.com

Você também pode solicitar um certificado SSL para domínios adicionais. Basta adicionar a -dopção " " quantas vezes quiser.

certbot --nginx -d example.com -d www.example.com -d example.net -d example.net

Caso você queira obter apenas o certificado do Let's Encrypt sem instalá-lo automaticamente, você pode usar o seguinte comando. Isso faz alterações temporárias na sua configuração do Nginx para obter o certificado e revertê-lo após o download do certificado.

certbot --nginx certonly -d example.com -d www.example.com

Se você estiver executando o Certbot pela primeira vez, será solicitado a inserir um endereço de e-mail e concordar com os termos de serviço. Este endereço de email será usado para avisos de renovação e segurança. Depois de fornecer um endereço de email, o Certbot solicitará um certificado do Let's Encrypt e executará um desafio para verificar se você controla o domínio em questão.

Se o Certbot puder obter um certificado SSL, ele perguntará como você deseja definir suas HTTPSconfigurações. Você pode redirecionar os visitantes que visitam seu site por uma conexão não segura ou permitir que eles acessem por uma conexão não segura. Isso geralmente deve ser ativado porque garante que os visitantes acessem apenas a versão protegida por SSL do seu site. Selecione sua escolha e pressione ENTER.

Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
-------------------------------------------------------------------------------
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

Por fim, o Certbot confirmará que o processo foi bem-sucedido e onde seus certificados estão armazenados. Seus certificados estão agora baixados e instalados.

Automatizando a renovação

Como o Let's Encrypt é uma autoridade de certificação gratuita, e para incentivar os usuários a automatizar o processo de renovação, os certificados são válidos apenas por 90 dias. O Certbot cuidará da renovação de certificados automaticamente. Faz isso executando certbot renewduas vezes por dia via systemd.

Você pode verificar se a renovação automática está funcionando executando este comando.

certbot renew --dry-run

Você também pode renovar manualmente seu certificado a qualquer momento executando o seguinte comando.

certbot renew

Configuração aprimorada

Os comandos acima obtêm e instalam o certificado SSL com uma configuração adequada para a maioria dos casos. Se você deseja implementar medidas de segurança avançadas para o seu site, pode usar o seguinte comando para obter o certificado.

certbot --nginx --rsa-key-size 4096 --must-staple -d example.com -d www.example.com

Ele --rsa-key-size 4096usa uma chave RSA de 4096 bits em vez da chave de 2048 bits, o que é mais seguro. A desvantagem disso é que uma chave maior resulta em uma pequena sobrecarga de desempenho. Além disso, navegadores e dispositivos mais antigos podem não suportar chaves RSA de 4096 bits.

Ele --must-stapleadiciona a extensão OCSP deve grampear ao certificado e configura o Nginx para grampeamento OCSP. Essa extensão permite que os navegadores verifiquem se o seu certificado não foi revogado e pode ser confiável. Nem todos os navegadores suportam esse recurso, no entanto.