Использование шифрования в OpenBSD 6.1

Больше не нужно, чтобы кто-либо создавал свои собственные SSL-сертификаты, потому что теперь вы можете получить свой собственный бесплатный действующий SSL-сертификат в Let's Encrypt . Этот сертификат подтвержден только доменом, поэтому его не следует использовать для электронной коммерции. Сертификат, выданный Let's Encrypt, может быть действительным для указанных вами первичных и поддоменов, но Let's Encrypt еще не поддерживает подстановочные сертификаты. OpenBSD включает в себя клиент Let's Encrypt под названием acme-client.

ПРИМЕЧАНИЕ. Пожалуйста, не забудьте заменить example.orgсвой домен .

Настройте /etc/acme-client.confфайл конфигурации.

# cd /etc
# vi acme-client.conf

Добавьте следующее в файл. domain full chainСертификат содержит Обратим Шифрование SSL цепь, которая полезна для проверки. Здесь мы будем использовать полную цепочку вместо domain certificate.

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

Настройте и запустите httpd.conf. Клиент acme использует веб-сервер для выполнения своих задач по проверке валидности домена. Эти проблемы должны быть успешными, чтобы получить действительный, подписанный сертификат.

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

Тип acme-client -ADv example.org. Теперь у вас должен быть действительный сертификат SSL. Он будет действителен в течение 90 дней, прежде чем вам придется снова запускать acme-client для получения сертификата.

Если вы получаете какие-либо ошибки, убедитесь, что у вас port 80открыт брандмауэр. Вам понадобится запись DNS A, которая example.orgсоответствует IP-адресу вашего экземпляра Vultr.

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf