在OpenBSD 6.1上使用Lets Encrypt

不再需要任何人来创建自己的SSL证书，因为现在您可以从Let's Encrypt获得自己的免费有效的SSL证书。该证书仅经过域验证，因此不应用于电子商务。Let's Encrypt颁发的证书可以对您指定的主域和子域有效，但是Let's Encrypt尚不支持通配符证书。OpenBSD包含一个名为的“让我们加密”客户端acme-client。

注意：请记住example.org用您的域名替换。

配置/etc/acme-client.conf配置文件。

# cd /etc
# vi acme-client.conf

将以下内容添加到文件中。该domain full chain证书包含“让我们加密SSL”链，这对于验证很有用。在这里，我们将使用完整链代替domain certificate。

domain example.org {
    alternative names { www.example.org webmail.example.org }
    domain key "/etc/ssl/private/example.org.key"
    domain certificate "/etc/ssl/example.org.cert"
    domain full chain certificate "/etc/ssl/example.org.fullchain.cert"
    sign with letsencrypt
}

配置并启动httpd.conf。acme客户端使用Web服务器执行其质询以验证域的有效性。为了发出有效的，经过签名的证书，这些挑战必须成功。

server "default" {
    listen on port 80
    root "/htdocs"
    directory index index.html

    location "/.well-known/acme-challenge/*" {
        root {"/acme", strip 2}
    }
}

# rcctl start httpd

输入acme-client -ADv example.org。您现在应该具有有效的SSL证书。有效期为90天，您必须再次运行acme-client才能重新获得证书。

如果遇到任何错误，请确保已port 80在防火墙上打开。您将需要一个DNS A记录，解析example.org为您的Vultr实例的IP地址。

# echo 'pass in on egress inet proto tcp from any to port 80 flags S/SA modulate state' >> /etc/pf.conf
# pfctl -f /etc/pf.conf