Как защитить Nginx с помощью Let’s Encrypt в Debian 9

Let’s Encrypt - это центр сертификации (CA), который предоставляет простой способ получения и установки бесплатных https://www.digitalocean.com/community/tutorials/openssl-essentials-working-with-ssl-certificates-private-keys-and -csrs [TLS / SSL сертификаты], включающий зашифрованный HTTPS на веб-серверах. Это упрощает процесс, предоставляя программный клиент Certbot, который пытается автоматизировать большинство (если не все) необходимых шагов. В настоящее время весь процесс получения и установки сертификата полностью автоматизирован как в Apache, так и в Nginx.

В этом руководстве вы будете использовать Certbot для получения бесплатного SSL-сертификата для Nginx в Debian 9 и настройки автоматического обновления вашего сертификата.

В этом руководстве вместо файла по умолчанию будет использоваться отдельный файл блока сервера Nginx. We рекомендуем создание новых файлов блоков сервера Nginx для каждого домена, поскольку это помогает избежать распространенных ошибок и поддерживает файлы по умолчанию в качестве резервной конфигурации.

Чтобы следовать этому уроку, вам понадобится:

Первым шагом к использованию Let Encrypt для получения SSL-сертификата является установка программного обеспечения Certbot на ваш сервер.

Certbot находится в очень активной разработке, поэтому пакеты Certbot, предоставляемые Debian с текущими стабильными выпусками, как правило, устарели. Однако мы можем получить более актуальный пакет, включив репозиторий backports Debian 9 в + / etc / apt / sources.list +, где менеджер пакетов + + apt + ищет источники пакетов. Репозиторий backports содержит перекомпилированные пакеты, которые можно запускать без новых библиотек в стабильных дистрибутивах Debian.

Чтобы добавить репозиторий backports, сначала откройте + / etc / apt / sources.list +:

Внизу файла добавьте следующие зеркала из проекта Debian:

/etc/apt/sources.list

Сюда входят пакеты + main +, совместимые с Debian Free Software Guidelines (DFSG), а также + non-free + и `+ contrib + `компоненты, которые либо сами не совместимы с DFSG, либо включают зависимости в этой категории.

Сохраните и закройте файл, когда вы закончите.

Обновите список пакетов, чтобы получить информацию о пакете нового репозитория:

И наконец, установите пакет Nginx Certbot с помощью + apt +:

Certbot теперь готов к использованию, но для того, чтобы настроить SSL для Nginx, нам нужно проверить некоторые настройки Nginx.

Certbot должен иметь возможность найти правильный блок + server + в вашей конфигурации Nginx, чтобы он мог автоматически настраивать SSL. В частности, он делает это путем поиска директивы + server_name +, которая соответствует вашему запрашиваемому домену.

Если вы следовали https://www.digitalocean.com/community/tutorials/how-to-install-nginx-on-debian-9#step-5-%E2%80%93-setting-up-server-blocks [шаг настройки блока сервера в руководстве по установке Nginx], у вас должен быть блок сервера для вашего домена в + / etc / nginx / sites-available / + с директивой + server_name +, которая уже установлена ​​соответствующим образом.

Чтобы проверить, откройте файл блокировки сервера для своего домена, используя + nano + или ваш любимый текстовый редактор:

Найдите существующую строку + server_name +. Это должно выглядеть так:

/etc/nginx/sites-available/example.com

Если это произойдет, выйдите из редактора и перейдите к следующему шагу.

Если это не так, обновите его, чтобы соответствовать. Затем сохраните файл, выйдите из редактора и проверьте синтаксис изменений конфигурации:

Если вы получили ошибку, снова откройте файл блока сервера и проверьте, нет ли опечаток или пропущенных символов. Как только синтаксис файла конфигурации будет правильным, перезагрузите Nginx, чтобы загрузить новую конфигурацию:

Теперь Certbot может найти правильный блок + server + и обновить его.

Далее, давайте обновим брандмауэр, чтобы разрешить HTTPS-трафик.

Если у вас включен брандмауэр + ufw +, как рекомендовано в руководствах по предварительным требованиям, вам необходимо изменить настройки, чтобы разрешить трафик HTTPS.

Вы можете увидеть текущие настройки, набрав:

Вероятно, это будет выглядеть так, что означает, что веб-серверу разрешен только HTTP-трафик:

Чтобы разрешить HTTPS-трафик, разрешите полный профиль Nginx и удалите избыточный допуск профиля HTTP Nginx:

Ваш статус должен выглядеть следующим образом:

Далее, давайте запустим Certbot и получим наши сертификаты.

Certbot предоставляет различные способы получения SSL-сертификатов через плагины. Плагин Nginx позаботится о перенастройке Nginx и перезагрузке конфигурации при необходимости. Чтобы использовать этот плагин, введите следующее:

Он запускает + certbot + с плагином + - nginx +, используя + -d +, чтобы указать имена, для которых мы хотим, чтобы сертификат был действительным.

Если вы впервые запускаете + certbot +, вам будет предложено ввести адрес электронной почты и принять условия обслуживания. После этого + certbot + свяжется с сервером Let Encrypt, а затем запустит запрос, чтобы убедиться, что вы контролируете домен, для которого запрашиваете сертификат.

В случае успеха + certbot + спросит, как бы вы хотели настроить параметры HTTPS.

Выберите ваш выбор, затем нажмите + ENTER. Конфигурация будет обновлена, и Nginx перезагрузится, чтобы подобрать новые настройки. + certbot + завершит с сообщением о том, что процесс прошел успешно и где хранятся ваши сертификаты:

Ваши сертификаты загружены, установлены и загружены. Попробуйте перезагрузить ваш сайт с помощью + https: // + и обратите внимание на индикатор безопасности вашего браузера. Это должно означать, что сайт защищен должным образом, обычно с зеленым значком замка. Если вы протестируете свой сервер с помощью SSL Labs Server Test, он получит оценку * A *.

Давайте закончим тестированием процесса обновления.

Сертификаты Let’s Encrypt действительны только в течение девяноста дней. Это должно стимулировать пользователей автоматизировать процесс обновления их сертификатов. Пакет + certbot +, который мы установили, позаботится об этом, добавив скрипт обновления в + / etc / cron.d +. Этот скрипт запускается два раза в день и автоматически обновляет любой сертификат, срок действия которого истекает в течение тридцати дней.

Чтобы проверить процесс обновления, вы можете выполнить пробный прогон с помощью + certbot +:

Если вы не видите ошибок, все готово. При необходимости Certbot обновит ваши сертификаты и перезагрузит Nginx, чтобы получить изменения. Если процесс автоматического продления не удастся, Let’s Encrypt отправит сообщение на указанный вами адрес электронной почты, предупреждая вас, когда ваш сертификат скоро истечет.

В этом руководстве вы установили клиент Let Encrypt + certbot +, загрузили SSL-сертификаты для своего домена, настроили Nginx для использования этих сертификатов и настроили автоматическое обновление сертификатов. Если у вас есть дополнительные вопросы по использованию Certbot, their документация - хорошее место для начала.