Как защитить Nginx с помощью Let’s Encrypt на Ubuntu 16.04

Let’s Encrypt - это центр сертификации (CA), который предоставляет простой способ получить и установить бесплатныеTLS/SSL certificates, тем самым обеспечивая зашифрованный HTTPS на веб-серверах. Это упрощает процесс, предоставляя программный клиент Certbot, который пытается автоматизировать большинство (если не все) необходимых шагов. В настоящее время весь процесс получения и установки сертификата полностью автоматизирован как в Apache, так и в Nginx.

В этом руководстве вы будете использовать Certbot для получения бесплатного SSL-сертификата для Nginx в Ubuntu 16.04 и настройки автоматического обновления вашего сертификата.

В этом руководстве используется файл конфигурации Nginx по умолчанию вместо отдельного файла блока сервера. We recommend создает новые файлы блоков сервера Nginx для каждого домена, потому что это помогает избежать некоторых распространенных ошибок и поддерживает файлы по умолчанию в качестве резервной конфигурации, как и предполагалось. Если вы хотите настроить SSL, используя вместо этого серверные блоки, вы можете следоватьthis Nginx server blocks with Let’s Encrypt tutorial.

Чтобы следовать этому уроку, вам понадобится:

[[step-1 -—- install-certbot]] == Шаг 1. Установка Certbot

Первым шагом к использованию Let Encrypt для получения SSL-сертификата является установка программного обеспечения Certbot на ваш сервер.

Certbot находится в очень активной разработке, поэтому пакеты Certbot, предоставляемые Ubuntu, как правило, устарели. Однако разработчики Certbot поддерживают программный репозиторий Ubuntu с последними версиями, поэтому мы будем использовать этот репозиторий.

Сначала добавьте хранилище.

Вам нужно будет нажатьENTER для подтверждения. Затем обновите список пакетов, чтобы получить информацию о пакете нового репозитория.

И, наконец, установите пакет Certbot Nginx сapt-get.

Certbot теперь готов к использованию, но для того, чтобы настроить SSL для Nginx, нам нужно проверить некоторые настройки Nginx.

[[step-2 -—- setting-up-nginx]] == Шаг 2. Настройка Nginx

Certbot может автоматически настраивать SSL для Nginx, но он должен быть в состоянии найти правильный блокserver в вашей конфигурации. Для этого он ищет директивуserver_name, соответствующую домену, для которого вы запрашиваете сертификат.

Если вы начинаете с новой установки Nginx, вы можете обновить файл конфигурации по умолчанию. Откройте его с помощьюnano или вашего любимого текстового редактора.

Найдите существующую строкуserver_name и замените подчеркивание_ на свое доменное имя:

/etc/nginx/sites-available/default

Сохраните файл и выйдите из редактора.

Затем проверьте синтаксис ваших изменений конфигурации.

Если вы обнаружите какие-либо ошибки, снова откройте файл и проверьте на наличие опечаток, а затем протестируйте его снова.

Как только синтаксис вашей конфигурации правильный, перезагрузите Nginx, чтобы загрузить новую конфигурацию.

Certbot теперь сможет найти правильный блокserver и обновить его. Затем мы обновим наш брандмауэр, чтобы разрешить HTTPS-трафик.

[[step-3 -—- Allow-https-through-the-firewall]] == Шаг 3. Разрешение HTTPS через брандмауэр

Если у вас включен брандмауэрufw, как рекомендовано в руководствах по предварительным требованиям, вам необходимо изменить настройки, чтобы разрешить трафик HTTPS. К счастью, Nginx регистрирует несколько профилей сufw при установке.

Вы можете увидеть текущие настройки, набрав:

Вероятно, это будет выглядеть так, что означает, что веб-серверу разрешен только HTTP-трафик:

Чтобы дополнительно включить HTTPS-трафик, мы можем разрешить полный профиль Nginx, а затем удалить избыточный допуск профиля HTTP Nginx:

Ваш статус должен выглядеть следующим образом:

Теперь мы готовы запустить Certbot и получить наши сертификаты.

[[шаг-4 -—- получение-an-ssl-сертификата]] == Шаг 4 - Получение сертификата SSL

Certbot предоставляет различные способы получения SSL-сертификатов с помощью различных плагинов. Плагин Nginx позаботится о перенастройке Nginx и перезагрузке конфигурации при необходимости:

Это запускаетcertbot с плагином--nginx, используя-d, чтобы указать имена, для которых мы хотим, чтобы сертификат был действительным.

Если вы впервые запускаетеcertbot, вам будет предложено ввести адрес электронной почты и согласиться с условиями обслуживания. После этогоcertbot свяжется с сервером Let's Encrypt, а затем запустит запрос, чтобы убедиться, что вы контролируете домен, для которого запрашиваете сертификат.

Если это успешно,certbot спросит, как вы хотите настроить параметры HTTPS.

Выберите свой выбор и нажмитеENTER. Конфигурация будет обновлена, и Nginx перезагрузится, чтобы подобрать новые настройки. certbot завершится сообщением о том, что процесс прошел успешно и где хранятся ваши сертификаты:

Ваши сертификаты загружены, установлены и загружены. Попробуйте перезагрузить свой сайт с помощьюhttps:// и обратите внимание на индикатор безопасности своего браузера. Это должно означать, что сайт защищен должным образом, обычно с зеленым значком замка. Если вы протестируете свой сервер с помощьюSSL Labs Server Test, он получит оценкуA.

Давайте закончим тестированием процесса обновления.

[[step-5 -—- verifying-certbot-auto-Renewal]] == Шаг 5. Проверка автоматического продления Certbot

Сертификаты Let's Encrypt действительны только в течение девяноста дней. Это должно стимулировать пользователей автоматизировать процесс обновления их сертификатов. Пакетcertbot, который мы установили, позаботится об этом за нас, дважды в день запуская «certbot refresh» через системный таймер. В дистрибутивах, не относящихся к systemd, эта функциональность обеспечивается скриптом, помещенным в/etc/cron.d. Эта задача выполняется два раза в день и обновляет любой сертификат, срок действия которого истекает в течение тридцати дней.

Чтобы протестировать процесс обновления, вы можете выполнить пробный запуск сcertbot:

Если вы не видите ошибок, все готово. При необходимости Certbot обновит ваши сертификаты и перезагрузит Nginx, чтобы получить изменения. Если процесс автоматического продления не удастся, Let’s Encrypt отправит сообщение на указанный вами адрес электронной почты, предупреждая вас, когда ваш сертификат скоро истечет.

В этом руководстве вы установили клиент Let’s Encryptcertbot, загрузили сертификаты SSL для своего домена, настроили Nginx для использования этих сертификатов и настроили автоматическое обновление сертификатов. Если у вас есть дополнительные вопросы об использовании Certbot,their documentation - хорошее место для начала.