วิธีการติดตั้งให้เข้ารหัส SSL บน CentOS 7 ที่ใช้งาน Apache Web Server

• บทนำ
• ข้อกำหนดเบื้องต้น
• การติดตั้งโมดูลที่ต้องพึ่งพา
• กำลังดาวน์โหลดไคลเอนต์ Let's Encrypt
• รับและกำหนดค่าใบรับรอง SSL
• การกำหนดค่าการต่ออายุใบรับรองอัตโนมัติ
• ข้อสรุป

บทนำ

��นบทช่วยสอนนี้คุณจะได้เรียนรู้ขั้นตอนการติดตั้งใบรับรอง TLS / SSL บนเว็บเซิร์ฟเวอร์ Apache เมื่อเสร็จสิ้นการรับส่งข้อมูลทั้งหมดระหว่างเซิร์ฟเวอร์และไคลเอ็นต์จะถูกเข้ารหัส นี่เป็นวิธีปฏิบัติมาตรฐานในการปกป้องเว็บไซต์อีคอมเมิร์ซและบริการทางการเงินอื่น ๆ ออนไลน์ Let's Encrypt เป็นผู้บุกเบิกในการนำ SSL ฟรีมาใช้และจะใช้เป็นผู้ให้บริการใบรับรองในกรณีนี้

ข้อกำหนดเบื้องต้น

ก่อนที่คุณจะเริ่มคู่มือนี้คุณจะต้องมีสิ่งต่อไปนี้:

• การเข้าถึงรูท SSH ไปยัง CentOS 7 VPS
• Apache เว็บเซิร์ฟเวอร์ที่มีโดเมนและ vhost ได้รับการกำหนดค่าอย่างถูกต้อง
• ผู้ใช้ sudo ที่ไม่ใช่รูท

การติดตั้งโมดูลที่ต้องพึ่งพา

ในการติดตั้ง certbot คุณจะต้องติดตั้งที่เก็บ EPEL เนื่องจากไม่สามารถใช้งานได้ตามค่าเริ่มต้นซึ่งmod_sslเป็นสิ่งจำเป็นสำหรับการเข้ารหัสที่ Apache จะรู้จัก:

sudo yum install -y epel-release mod_ssl

กำลังดาวน์โหลดไคลเอนต์ Let's Encrypt

ถัดไปคุณจะติดตั้งไคลเอนต์ certbot จากที่เก็บ EPEL:

sudo yum install python-certbot-apache

รับและกำหนดค่าใบรับรอง SSL

Certbot จะจัดการการจัดการใบรับรอง SSL ได้อย่างง่ายดาย มันจะสร้างใบรับรองใหม่สำหรับโดเมนที่ให้ไว้เป็นพารามิเตอร์

ในกรณีนี้example.comจะใช้เป็นโดเมนที่จะออกใบรับรอง:

sudo certbot --apache -d example.com

หากคุณต้องการสร้าง SSL สำหรับหลายโดเมนหรือหลายโดเมนย่อยให้ใช้คำสั่งต่อไปนี้:

sudo certbot --apache -d example.com -d www.example.com

หมายเหตุ: โดเมนแรกที่ควรจะโดเมนฐานของคุณในตัวอย่างนี้:example.com

เมื่อคุณติดตั้งใบรับรองคุณจะได้รับคำแนะนำทีละขั้นตอนที่จะช่วยให้คุณสามารถปรับแต่งรายละเอียดใบรับรองได้ คุณจะสามารถเลือกระหว่างการบังคับHTTPSหรือออกจากHTTPเป็นโปรโตคอลเริ่มต้น จะต้องให้ที่อยู่อีเมลด้วยเช่นกันเพื่อเหตุผลด้านความปลอดภัย

เมื่อการติดตั้งเสร็จสมบูรณ์คุณจะได้รับข้อความที่คล้ายกัน:

IMPORTANT NOTES:
- If you lose your account credentials, you can recover through
emails sent to user@example.com.
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/example.com/fullchain.pem. Your cert
will expire on 2019-04-21. To obtain a new version of the
certificate in the future, simply run Let's Encrypt again.
- Your account credentials have been saved in your Let's Encrypt
configuration directory at / etc / letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also have certificates and private keys obtained by Let's
Encrypt so regular backups of this folder is ideal.
- If you like Let's Encrypt, please consider supporting our work by:

การกำหนดค่าการต่ออายุใบรับรองอัตโนมัติ

ขอใบรับรองการเข้ารหัสนั้นมีอายุ 90 วัน ขอแนะนำให้ต่ออายุภายใน 60 วันเพื่อหลีกเลี่ยงปัญหาใด ๆ เพื่อให้บรรลุสิ่งนี้ certbot จะช่วยเหลือเราด้วยคำสั่งต่ออายุของคุณ มันจะตรวจสอบว่าใบรับรองน้อยกว่า 30 วันนับจากวันหมดอายุ:

sudo certbot renew

หากใบรับรองที่ติดตั้งเป็นล่าสุด certbot จะตรวจสอบวันที่หมดอายุเท่านั้น:

Processing  /etc/letsencrypt/renewal/example.com.conf
The following certs are not due for renewal yet:
    /etc/letsencrypt/live/example.com/fullchain.pem (skipped)
No renewals were attempted.

ในการทำให้กระบวนการต่ออายุเป็นแบบอัตโนมัติคุณสามารถตั้งค่า cronjob ได้ ก่อนอื่นให้เปิด crontab:

sudo crontab -e

งานนี้สามารถกำหนดให้ทำงานได้อย่างปลอดภัยทุกวันจันทร์เวลาเที่ยงคืน:

0 0 * * 1 / usr / bin / certbot renew >> /var/log/sslrenew.log

ผลลัพธ์ของสคริปต์จะถูกไพพ์ไปยัง/var/log/sslrenew.logไฟล์

ข้อสรุป

คุณเพียงรักษาความปลอดภัยเว็บเซิร์ฟเวอร์ Apache ของคุณโดยใช้ใบรับรอง SSL ฟรี นับจากนี้ไปการรับส่งข้อมูลทั้งหมดระหว่างเซิร์ฟเวอร์และไคลเอ็นต์จะถูกเข้ารหัส