Comment utiliser le mode autonome de Certbot pour récupérer les certificats SSL de cryptage sur Debian 9

Let’s Encrypt est un service proposant des certificats SSL gratuits via une API automatisée. Le client le plus populaire de Let’s Encrypt est EFF Certbot.

Certbot propose diverses méthodes pour valider votre domaine, récupérer des certificats et configurer automatiquement Apache et Nginx. Dans ce didacticiel, nous aborderons le mode standalone de Certbot et comment l’utiliser pour sécuriser d’autres types de services, tels qu’un serveur de messagerie ou un courtier de messages comme RabbitMQ.

Nous ne discuterons pas des détails de la configuration SSL, mais lorsque vous aurez terminé, vous obtiendrez un certificat valide qui sera automatiquement renouvelé. De plus, vous pourrez automatiser le rechargement de votre service pour récupérer le certificat renouvelé.

Avant de commencer ce tutoriel, vous aurez besoin de:

Debian 9 inclut le client Certbot dans son référentiel par défaut et il devrait être suffisamment à jour pour une utilisation de base. Si vous devez faire des challenges basés sur DNS ou utiliser d’autres fonctionnalités Certbot plus récentes, vous devriez plutôt installer à partir du référentiel + stretch-backports + comme indiqué par https://certbot.eff.org/lets-encrypt/debianstretch-other [ la documentation officielle de Certbot].

Utilisez + apt + pour installer le paquetage + certbot +:

Vous pouvez tester votre installation en demandant à + ​​certbot + d’indiquer son numéro de version:

Maintenant que Certbot est installé, exécutons-le pour obtenir notre certificat.

Certbot doit répondre à un défi cryptographique émis par l’API Let’s Encrypt afin de prouver que nous contrôlons notre domaine. Il utilise pour cela les ports + 80 + (HTTP) ou + 443 + (HTTPS). Ouvrez le port approprié sur votre pare-feu:

Remplacez «+ 443 » ci-dessus si c'est le port que vous utilisez. ` ufw +` affichera la confirmation que votre règle a été ajoutée:

Nous pouvons maintenant exécuter Certbot pour obtenir notre certificat. Nous allons utiliser l’option + - standalone + pour indiquer à Certbot de relever le défi à l’aide de son propre serveur Web intégré. L’option + - preferred-challenges + indique à Certbot d’utiliser le port 80 ou le port 443. Si vous utilisez le port 80, vous voulez + - preferred-challenges http. Pour le port 443, ce serait + - preferred-challenges tls-sni +. Enfin, l’indicateur + -d + est utilisé pour spécifier le domaine pour lequel vous demandez un certificat. Vous pouvez ajouter plusieurs options + -d + pour couvrir plusieurs domaines dans un seul certificat.

Lors de l’exécution de la commande, vous serez invité à entrer une adresse électronique et à accepter les conditions d’utilisation. Après cela, vous devriez voir un message vous informant que le processus a abouti et où sont stockés vos certificats:

Nous avons nos certificats. Voyons ce que nous avons téléchargé et comment utiliser les fichiers avec notre logiciel.

La configuration de votre application pour SSL dépasse le cadre de cet article, car chaque application a des exigences et des options de configuration différentes, mais examinons ce que Certbot a téléchargé pour nous. Utilisez + ls pour lister le répertoire qui contient vos clés et certificats:

Le fichier + README + de ce répertoire contient plus d’informations sur chacun de ces fichiers. Le plus souvent, vous n’avez besoin que de deux de ces fichiers:

Pour plus d’informations sur les autres fichiers présents, reportez-vous à la section «https://certbot.eff.org/docs/using.html#where-are-my-certificates[Where are my certificates]» de la documentation Certbot.

Certains logiciels auront besoin de leurs certificats dans d’autres formats, dans d’autres emplacements ou avec d’autres autorisations utilisateur. Il est préférable de tout laisser dans le répertoire + letsencrypt + et de ne pas y modifier les autorisations (les autorisations seront écrasées lors du renouvellement de toute façon), mais parfois ce n’est pas une option. Dans ce cas, vous devrez écrire un script pour déplacer les fichiers et modifier les autorisations en fonction des besoins. Ce script devra être exécuté chaque fois que Certbot renouvellera les certificats, dont nous parlerons ensuite.

Les certificats de Let Encrypt ne sont valables que quatre-vingt-dix jours. Cela encourage les utilisateurs à automatiser leur processus de renouvellement des certificats. Le paquetage + certbot + que nous avons installé s’occupe de cela en ajoutant un script de renouvellement à + ​​/ etc / cron.d +. Ce script est exécuté deux fois par jour et renouvelle tout certificat dans les trente jours suivant son expiration.

Avec nos certificats renouvelés automatiquement, nous avons toujours besoin d’un moyen d’exécuter d’autres tâches après un renouvellement. Nous devons au moins redémarrer ou recharger notre serveur pour récupérer les nouveaux certificats et, comme indiqué à l’étape 3, nous devrons peut-être manipuler les fichiers de certificat de manière à les faire fonctionner avec le logiciel que nous utilisons. C’est le but de l’option + renew_hook + de Certbot.

Pour ajouter un + renew_hook +, nous mettons à jour le fichier de configuration de renouvellement de Certbot. Certbot se souvient de tous les détails de la première récupération du certificat et fonctionnera avec les mêmes options lors du renouvellement. Nous avons juste besoin d’ajouter dans notre crochet. Ouvrez le fichier de configuration avec votre éditeur préféré:

Un fichier texte s’ouvrira avec quelques options de configuration. Ajoutez votre crochet à la dernière ligne:

/etc/letsencrypt/renewal/exemple.com.conf

Mettez à jour la commande ci-dessus avec tout ce que vous devez exécuter pour recharger votre serveur ou exécuter votre script de conversion de fichier personnalisé. Habituellement, sur Debian, vous utiliserez principalement + systemctl + pour recharger un service. Enregistrez et fermez le fichier, puis exécutez une analyse à blanc pour vérifier que la syntaxe est correcte:

Si vous ne voyez aucune erreur, vous êtes tous ensemble. Certbot est configuré pour se renouveler si nécessaire et exécuter les commandes nécessaires pour que votre service utilise les nouveaux fichiers.

Dans ce didacticiel, nous avons installé le client Certbot Let’s Encrypt, téléchargé un certificat SSL en mode autonome et activé les renouvellements automatiques avec les hooks renew. Cela devrait vous permettre de bien utiliser les certificats de Let’s Encrypt avec des services autres que votre serveur Web habituel.

Pour plus d’informations, veuillez consulter Certbot ’documentation.