Установка бесплатного сертификата от letsencrypt.org

Я являюсь участником закрытого бета-тестирования https://letsencrypt.org/.

Тут я расскажу, как получить бесплатный сертификат от Let's Encrypt.

Зарегистрироваться в закрытой бете можно тут.

3 декабря 2015 года, планируется запуск открытого бета-тестирования, поэтому ссылка выше уже может быть неактуальна.
UPD: 3 декабря запустили публичную бету, поэтому нет нужды регистрироваться в закрытой бете.

Сертификат дается на три месяца, скорее всего так оно и останется, ибо сами разработчики объясняют это сохранением безопасности, мол времени скомпрометировать шифр гораздо меньше, нежели если бы сертификат генерился на год вперед.

После регистрации в бета-тестировании, должно придти письмо:

В письме будут указаны домены, которые внесены в белый список и для которых можно сгенерировать SSL-сертификаты.

Собственно установка:

# yum install git

# cd /tmp

# git clone https://github.com/letsencrypt/letsencrypt

# cd letsencrypt

Запускаем инсталлятор сертификатов в ручном режиме (-a manual):

# ./letsencrypt-auto --agree-dev-preview --server \https://acme-v01.api.letsencrypt.org/directory -a manual auth

Соглашаемся с тем, что адреса будут доступны публично, указываем почту для восстановления, а также домены, для которых генерятся сертификаты:

Далее инсталлятор предлагает подтвердить владение доменом:

Make sure your web server displays the following content at

http://vps.amet13.name/.well-known/acme-challenge/411V162ufTxn0p07NigsNHkPkNsFfs86bDYfACcQYTc before continuing:

411V162ufTxn0p07NigsNHkPkNsFfs86bDYfACcQYTc.yBwdvCu_zpol-e8v97glKXXx0XsbRwo39viXWlB3SwU

Content-Type header MUST be set to text/plain.

If you don't have HTTP server configured, you can run the following

command on the target server (as root):

mkdir -p /tmp/letsencrypt/public_html/.well-known/acme-challenge

cd /tmp/letsencrypt/public_html

printf "%s" 411V162ufTxn0p07NigsNHkPkNsFfs86bDYfACcQYTc.yBwdvCu_zpol-e8v97glKXXx0XsbRwo39viXWlB3SwU > .well-known/acme-challenge/411V162ufTxn0p07NigsNHkPkNsFfs86bDYfACcQYTc

# run only once per server:

$(command -v python2 || command -v python2.7 || command -v python2.6) -c \

"import BaseHTTPServer, SimpleHTTPServer; \

SimpleHTTPServer.SimpleHTTPRequestHandler.extensions_map = {'': 'text/plain'}; \

s = BaseHTTPServer.HTTPServer(('', 80), SimpleHTTPServer.SimpleHTTPRequestHandler); \

s.serve_forever()" 

Press ENTER to continue

Для этого либо создаем файлик который просят в корневом каталоге домена (если домен настроен), если же виртуальный хост для домена не настроен или http-сервер не установлен, то можно запустить простенький http-сервер на python, который предлагает letsencrypt.

У меня не было настроено виртуальных хостов для vps.amet13.name и le.amet13.name, поэтому я запустил команды в параллельной вкладке SSH-сессии:

# mkdir -p /tmp/letsencrypt/public_html/.well-known/acme-challenge

# cd /tmp/letsencrypt/public_html

# printf "%s" 411V162ufTxn0p07NigsNHkPkNsFfs86bDYfACcQYTc.yBwdvCu_zpol-e8v97glKXXx0XsbRwo39viXWlB3SwU > .well-known/acme-challenge/411V162ufTxn0p07NigsNHkPkNsFfs86bDYfACcQYTc

# $(command -v python2 || command -v python2.7 || command -v python2.6) -c \

"import BaseHTTPServer, SimpleHTTPServer; \

SimpleHTTPServer.SimpleHTTPRequestHandler.extensions_map = {'': 'text/plain'}; \

s = BaseHTTPServer.HTTPServer(('', 80), SimpleHTTPServer.SimpleHTTPRequestHandler); \

s.serve_forever()"

Когда эта команда запущена, маленький веб-сервер слушает 443 порт.

Возвращаемся в первоначальную SSH-сессию и нажимаем кнопку Enter, после этого сертификаты должны установиться:

IMPORTANT NOTES:

 - Congratulations! Your certificate and chain have been saved at

   /etc/letsencrypt/live/vps.amet13.name/fullchain.pem. Your cert will

   expire on 2016-02-15. To obtain a new version of the certificate in

   the future, simply run Let's Encrypt again.

Если доменов несколько, то аналогично сделать с другим доменом.

Осталось только создать виртуальные хосты:

# cd /etc/nginx/conf.d/

# vim vps.amet13.name.conf

server {

   listen 443 ssl;

   server_name vps.amet13.name;

   ssl on;

   ssl_certificate /etc/letsencrypt/live/vps.amet13.name/fullchain.pem;

   ssl_certificate_key /etc/letsencrypt/live/vps.amet13.name/privkey.pem;

   ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

   ssl_ciphers HIGH:!aNULL:!MD5;

   root /var/www/vps.amet13.name;

   index index.html;

}

# mkdir /var/www/vps.amet13.name

# echo vps.amet13.name > /var/www/vps.amet13.name/index.html
# аналогично создаем для le.amet13.name

# systemctl start nginx

Идем по ссылке: https://vps.amet13.name/