如何在Linux主機中安裝 Let’s Encrypt 的加密 SSL安全憑證（Nginx）

2021 年 5 月 5 日 topadmin電腦技術問題不加評論

本教學將向您展示如何使用 Let’s Encrypt 的加密證書頒發機構免費頒發的TLS證書在Linux主機上安裝和保護Nginx Web伺服器。此外，我們將在證書過期之前使用cron作業配置 Let’s Encrypt 的加密TLS證書的自動續訂。
TLS，也稱為傳輸層安全性，是一種網路協定，它使用SSL證書加密在伺服器和用戶端之間或Web伺服器（如Nginx伺服器）和瀏覽器之間流動的網路流量。在這兩個實體之間交換的所有資料都是安全的，即使使用諸如中間攻擊或封包嗅探的人之類的技術攔截連線，也不能解密連線。該certbot套服軟體是可以在生成和Linux主機中下載免費讓我們的加密證書的過程中使用讓我們的加密CA提供的官方用戶端工具。
要求

在Linux主機中安裝LEMP Stack。
具有正確DNS記錄的公共註冊域名（子域的A記錄或CNAME記錄）。
直接訪問伺服器控制台或遠端SSH訪問伺服器。
具有root權限或直接訪問root帳戶的使用者帳戶。

內容目錄

1 安裝Certbot用戶端實用程式
2 取得Let的加密證書
3 取得 Let’s Encrypt 加密SSL證書的替代方法
4 配置Nginx for TLS（SSL）
5 在Nginx中安裝Let的加密證書
6 強製網路流量到HTTPS
7 最後檢查
8 自動續訂讓我們加密證書

安裝Certbot用戶端實用程式

為了從Debian官方存儲庫安裝Debian 9中的Let’s Encrypt cerbot使用者端實用程式，開啟終端並以root權限發出以下指令，如以下螢幕快照所示。

apt-get install certbot

Debian apt 實用程式是Linux主機主程式包管理器的指令行介面，經由一些初步檢查後，會詢問您是否同意繼續安裝certbot程式包及其所有必需的依賴項。在伺服器的控制台提示符下接受使用yes（y）安裝軟體答案的過程。

取得Let的加密證書

要為域生成和下載 Let’s Encrypt 的加密證書，首先要確保Nginx Web伺服器已啟動並運行，並且至少可以從Internet訪問連接埠80。要驗證Nginx是否正在運行，請使用root權限執行以下指令。

sudo systemctl status nginx

如果伺服器尚未運行，請使用以下指令啟動Nginx守護程式。

sudo systemctl start nginx

如果您在Linux主機中安裝了通用防火牆，例如UFW防火牆，它會阻止連接埠80和443上的所有傳入連線，請發出以下指令以在系統中開啟HTTP和HTTPS連接埠。

sudo ufw allow 80/tcp

sudo ufw allow 443/tcp

要取得域的證書，請在控制台中使用以下參數和標誌執行cerbot指令，如下所述。使用root權限運行指令，並使用-d標誌提供您要取得證書的域名和所有其他子域。此外，提供–standalone選項以使certbot不會干擾Nginx配置檔。使用此選項頒發證書時，必須停止Nginx伺服器。
cerbot命令語法：

sudo certbot certonly --standalone -d yourdomain.com -d www.yourdomain.com

首次運行certbot指令並取得證書時，系統將提示您加入電子信件位址並同意Let’s Encrypt的加密服務條款。寫上「 a 」表示同意服務條款「 no」，不與Let’s Encrypt合作夥伴共享您的電子信件位址。最後，在獲得域名證書後，請閱讀頁腳註釋以尋找證書系統路徑及其過期日期。

取得 Let’s Encrypt 加密SSL證書的替代方法

要通過「 webroot 」外掛程式取得 Let’s Encrypt 的加密證書，請使用以下語法。加入Nginx Web根目錄，預設情況下位於/ var / www / html / system路徑中，同時發出帶有–webroot和-w標誌的certbot指令。此外，請確保Nginx對Web根目錄具有完全寫入權限，以便建立/.well-known目錄。
該 –webrot 為cerbot選項也將要求你把你的電子信件位址，證書更新和安全知會。 Certbot 用戶端具有可以檢驗虛假電子信件位址的內建代碼。您必須提供可公開訪問的電子信件位址才能繼續取得證書。

certbot certonly --webroot -w / var / www / html / -d yourdomain.com -d www.yourdomain.com

將除錯日誌儲存到/var/log/letsencrypt/letsencrypt.log

輸入電子信件位址（用於緊急續訂和安全知會）（輸入’c’即可

取消）：contact@yourdomain.com ＃一個假的電子信件位址將被檢驗

這個位址似乎有問題。輸入電子信件位址（用於

緊急更新和安全知會）如果你真的想略過這個，你可以

使用–register-unsafely-without-email運行用戶端，但請確保您

從/ etc / letsencrypt / accounts備份您的帳戶密鑰（輸入’c’取消）：youremail@domain.com

請閱讀服務條款

https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf。你必須同意

為了在ACME服務器註冊

https://acme-v01.api.letsencrypt.org/directory

(A)gree/(C)ancel: a

您是否願意與Electronic Frontier分享您的電子信件位址？

基金會，Let’s Encrypt項目的創始合夥人和非盈利組織

開發Certbot的組織？我們想向您傳送有關EFF和的電子信件

我們的工作是加密網路，保護使用者並捍衛數字版權。

（Y）es /（N）o：n

獲得新證書

執行以下挑戰：

http：01挑戰www.domain.com

對所有不匹配的域使用webroot路徑/ var / www / html /。

等待驗證……

清理挑戰

重要筆記：

– 恭喜！您的證書和鏈已保存在

/etc/letsencrypt/live/www.yourdomain.com/fullchain.pem。你的

證書將於2017年12月28日到期。獲取新版本或經過調整的版本

將來只需運行certbot即可獲得此證書。至

非交互式更新*所有*您的證書，運行“certbot

更新”

– 您的帳戶憑據已保存在您的Certbot中

/ etc / letsencrypt中的配置目錄。你應該

立即對此文件夾進行安全備份。這個配置

目錄還將包含獲得的證書和私鑰

通過Certbot，所以定期備份這個文件夾是理想的。

– 如果您喜歡Certbot，請考慮通過以下方式支持我們的工作：

捐贈給ISRG /讓我們加密：https：//letsencrypt.org/donate

捐贈給EFF：https： //eff.org/donate-le

配置Nginx for TLS（SSL）

域的Nginx完整預設TLS配置檔應如下面的檔案摘錄中所示。
/ etc / nginx / sites-enabled / default-ssl檔案示例：

 server {
                    listen 443 ssl default_server;
                    listen [::]:443 ssl default_server;
                server_name  www.yourdomain.com yourdomain.com;
                #server_name _;
                root /var/www/html;
                access_log /var/log/nginx/access.log;
                error_log /var/log/nginx/error.log;
               #SSL Certificates
                ssl_certificate "/etc/letsencrypt/live/www.yourdomain.com/cert.pem";
                ssl_certificate_key "/etc/letsencrypt/live/www. yourdomain.com/privkey.pem";
                ssl_dhparam /etc/nginx/dhparam.pem;
                ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
                #ssl_ciphers EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
                ssl_session_cache shared:SSL:1m;
               ssl_session_timeout 10m;
                ssl_ciphers HIGH:!aNULL:!MD5;
                ssl_prefer_server_ciphers  on;
                add_header Strict-Transport-Security "max-age=31536000;
                #includeSubDomains" always;
                location / {
                    index index.php index.html index.htm;
                    try_files $uri $uri/ /index.php?$args $uri/ =404;
                }
                set $cache_uri $request_uri;
                location ~ /.well-known {
                allow all;
                                }
                #
                #             # With php-fpm (or other unix sockets):
                                fastcgi_pass unix:/var/run/php/php7.0-fpm.sock;
                #             # With php-cgi (or other tcp sockets):
                #             fastcgi_pass 127.0.0.1:9000;
                }
               # deny access to .htaccess files, if Apache's document root
                # concurs with nginx's one
                #
                #location ~ /\.ht {
                #             deny all;
                #}
    }

通過FastCGI Process Manager處理PHP腳本的代碼行也可以在此摘錄中找到，並由以下行表示。

location ~ \.php$ {
                                include snippets/fastcgi-php.conf;
fastcgi_pass unix:/var/run/php/php7.0-fpm.sock;
                }

在Nginx中安裝Let的加密證書

我們的加密證書和密鑰存儲在Linux主機的/etc/letsencrypt/live/www.yourdomain.com/目錄中。針對上述目錄的ls指令將顯示所有證書元件，例如鍊檔案，fullchain檔案，私鑰和證書檔案。

ls /etc/letsencrypt/live/www.yourdomain.com/

要在Nginx Web服務器TLS配置文件中安裝Let的加密證書，請打開Nginx default-ssl 文件並更新以下行以反映您的域的Let的加密證書文件路徑，如下面的摘錄所示。

nano / etc / nginx / sites-enabled / default-ssl

更改以下行，如下所示：

  ssl_certificate“/etc/letsencrypt/live/www.yourdomain.com/cert.pem”;
                ssl_certificate_key“/etc/letsencrypt/live/www.yourdomain.com /privkey.pem”;

此外，如果ssl_dhparam語句存在於Nginx SSL配置中，則必須通過發出以下指令生成新的2048位Diffie-Hellman密鑰。Diffie-Hellman關鍵參數的生成應該需要一段時間，具體取決於您的系統隨機性或熵。

openssl dhparam -out /etc/nginx/dhparam.pem 2048

最後，在通過重新啟動Nginx守護程式以反映變更來啟動Nginx TLS配置之前，首先檢查Nginx配置是否存在潛在的語法錯誤。之後，如果Nginx配置檔測試完成，請通過發出以下指令重新啟動Nginx守護程式以將新配置與Let的加密證書一起加載。

nginx -t

service nginx restart

為了驗證nginx服務是否在端口443上擁有處於偵聽狀態的已打開套接字，請執行netstat命令，如下面的摘錄所示。

netstat -tulpn | grep -e 443 -e LISTEN

您還應該開啟瀏覽器並通過HTTPS協定導航到您的域名。如果在Nginx中完成應用了 Let’s Encrypt 的加密證書，則SSL握手應該可以順利運行而不會丟失任何錯誤。
https://www.yourdomain.com

強製網路流量到HTTPS

要強制您的域訪問者僅通過HTTPS協定瀏覽您的網站，請開啟啟用Nginx站台的預設配置檔並加入以下行，這將強制所有命中連接埠80的請求被重導至301狀態代碼（永久搬移）到連接埠443。

nano / etc / nginx / sites-enabled / default

重定向語句應如下面的摘錄中所示。

server_name www.yourdomain.com yourdomain.com;
return         301 https://$server_name$request_uri;

隨後，通過發出以下命令重新啟動Nginx守護程序以應用更改。

service nginx restart

最後檢查

要進一步調查Let的加密CA生成的證書，您可以使用現代Web瀏覽器，例如Chrome。從Chrome瀏覽器訪問您的域名，然後按F12功能鍵以開啟開發人員工具。導航到「安全」索引片，然後點選「檢視證書」按鈕以開啟證書，如以下螢幕快照所示。

調查SSL證書的另一個有用的實用程式證明是openssl指令行實用程式。為了顯示 Let’s Encrypt 的加密CA證書的額外訊息，請在Linux控制台中執行以下指令。

openssl s_client -connect www.yourdomain.com:443

自動續訂讓我們加密證書

為了在到期日期之前自動續訂Let’s Encrypt CA頒發的證書，請通過發出以下命令，安排crontab作業每天凌晨2:00運行一次。執行的cron作業的輸出將被定向到日誌文件，存儲在/var/log/letsencrypt.log中

crontab -e

Cron工作續簽證書。

0 2 * * * certbot renew >> /var/log/letsencrypt.log

這樣就完成了！有關 Let’s Encrypt 的加密證書和實用程式的其他更進階配置，請訪問以下Internet位址https://certbot.eff.org/docs/上的官方文件。

Let's Encrypt

關於topadmin

發佈留言取消回覆

很抱歉，必須登入網站才能發佈留言。

如何在Linux主機中安裝 Let’s Encrypt 的加密 SSL安全憑證（Nginx）

安裝Certbot用戶端實用程式

取得Let的加密證書

取得 Let’s Encrypt 加密SSL證書的替代方法

配置Nginx for TLS（SSL）

在Nginx中安裝Let的加密證書

強製網路流量到HTTPS

最後檢查

自動續訂讓我們加密證書

關於topadmin

發佈留言取消回覆

Popular Posts

最新文章

網路密訓基地網站快速導航

如何在Linux主機中安裝 Let’s Encrypt 的加密 SSL安全憑證（Nginx）

安裝Certbot用戶端實用程式

取得Let的加密證書

取得 Let’s Encrypt 加密SSL證書的替代方法

配置Nginx for TLS（SSL）

在Nginx中安裝Let的加密證書

強製網路流量到HTTPS

最後檢查

自動續訂讓我們加密證書

關於topadmin

發佈留言 取消回覆

Popular Posts

最新文章

網路密訓基地網站快速導航

發佈留言取消回覆