Gerando certificados com o LetsEncrypt
SO utilizado: Ubuntu 16.04 LTS - 18.04 LTS - 20.04 LTS - Demais Linux suportados pelo acme.sh
Fonte para HAproxy Ubuntu: https://www.digitalocean.com/community/tutorials/how-to-secure-haproxy-with-let-s-encrypt-on-ubuntu-14-04
Fonte para HAproxy CentOS: https://www.digitalocean.com/community/tutorials/how-to-secure-haproxy-with-let-s-encrypt-on-centos-7
1. IntroduçãoIntrodução
Para a maioria dos necessidades de certificaçãocertificação SSL, o IFSP recomenda a geraçãogeração de certificados atravésatravés da utilizaçãoutilização do CertBot\Let's Encrypt.Através
Através do cliente do programa Let's Encrypt, o Certbot, podemos gerar certificados de forma dinâmicadinâmica para os portais que utilizam SSL de forma segura e com renovaçãorenovação automatizada.
2. InstalaçãoInstalação do software de aquisiçãoaquisição e renovaçãorenovação de certificados
2.1. CertBot\Let's Encrypt
2.1.2. UBUNTU
2.1.2.1. NGINX:
#!/bin/bash
apt install letsencrypt && apt install python-certbot-nginx
mkdir /var/www/html/letsencrypt
chown www-data:www-data /var/www/html/letsencrypt
2.1.2.2. APACHE2:
#!/bin/bash
apt install letsencrypt && apt install python-certbot-apache
mkdir /var/www/html/letsencrypt
chown www-data:www-data /var/www/html/letsencrypt
2.1.2.3. HAPROXY:
#!/bin/bash
apt update && apt install certbot
mkdir /var/www/html/letsencrypt
chown www-data:www-data /var/www/html/letsencrypt
2.1.3. CentOS
2.1.3.1. APACHE2
#!/bin/bash
yum install epel-release mod_ssl && yum install certbot python-certbot-apache mod_ssl
mkdir /var/www/html/letsencrypt
chown apache:apache /var/www/html/letsencrypt
2.1.3.2. NGINX
#!/bin/bash
yum install epel-release && yum install certbot-nginx
mkdir /var/www/html/letsencrypt
chown www-data:www-data /var/www/html/letsencrypt
2.1.3.3. HAPROXY
#!/bin/bash
yum install epel-release && yum install certbot
2.2. Alternativa universal Linux - ACME.SH
Se vocêvocê utiliza outro sistema operacional Linux ou somente nãonão quer utilizar o certbot vocêvocê pode utilizar o script acme.sh, ele tem uma lista extensa de compatibilidade de sistemas e no final iráirá gerar os mesmos resultados, apesar de ser menos integrado ao sistema.
Mais detalhes no LINK
Este sistema ainda não foi completamente validado pela reitoria em testes de longo prazo.
mkdir /var/www/html/letsencrypt
chown www-data:www-data /var/www/html/letsencrypt
curl https://get.acme.sh | sh
O comando iráirá baixar e instalar o software automaticamente.
Se estiver usando SSH façafaça uma nova conexãoconexão para ativar o comando
Feito isso vocêvocê pode ativar o update automáticoautomático do script:
acme.sh --upgrade --auto-upgrade
3. ConfiguraçãoConfiguração do VHost
3.1. CertBot\Let's Encrypt
Devemos alterar o arquivo vhost do site alvo para que hospede o arquivo de verificaçãoverificação do domínio,domínio, este arquivo seráserá utilizado para verificaçãoverificação da renovaçãorenovação no futuro pelo Let's Encrypt.
No exemplo utilizaremos o vhost teste.ifsp.edu.br
3.1.1. VHost NGINX:
vi /etc/nginx/sites-available/teste.ifsp.edu.br
Insira as linhas abaixo:
location ~ /\.well-known/acme-challenge/ {
allow all;
root /var/www/html/letsencrypt;
try_files $uri =404;
break;
}
O arquivo template do vhost jájá estáestá atualizado com estas linhas
3.1.2. VHost Apache2 (Ubuntu) ou (CentOS):
vi /etc/apache2/conf-available/letsencrypt.conf
vi /etc/httpd/conf.d/letsencrypt.conf
Insira as linhas abaixo:
Alias /.well-known/acme-challenge/ "/var/www/html/letsencrypt/.well-known/acme-challenge/"
<Directory "/var/www/html/letsencrypt/">
AllowOverride None
Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
Require method GET POST OPTIONS
</Directory>
Em seguida execute (Ubuntu):
a2enconf letsencrypt && systemctl reload apache2
No CentOS:
systemctl reload httpd
3.1.3. VHost HAproxy:
Bom, primeiro nãonão existe isto de VHost HAproxy, ele nãonão éé um webserver, o que faremos posteriormente éé utilizar um mini servidor embutido no própriopróprio certbot para hospedar o arquivo de verificação,verificação, chamado de "plugin standalone".
O plugin standalone fornece um meio simples de obter o certificado SSL, ele funciona a partir de um pequeno web-server embutido que permite que o CA da Let’Let’s Encrypt se conecte a valide a identidade do servidor antes de emitir o certificado.
O plugin standalone funciona na porta 80, portanto o serviçoserviço do HAproxy deve estar desabilitado antes de emitir um certificado, se ele tambémtambém utilizar a porta 80, a renovaçãorenovação do certificado nãonão exige isto, como mostrado mais adiante.
3.2. ACME.SH
3.2.1. VHost NGINX:
VocêVocê pode seguir os mesmos procedimentos usados no certbot.
3.2.2. VHost Apache2:
VocêVocê pode seguir os mesmos procedimentos usados no certbot.
3.2.3. VHost HAproxy:
O princípioprincípio de funcionamento éé o mesmo, porémporém seráserá adaptado ao funcionamento do script acme, que tambémtambém possui um modo standalone com um pequeno webserver integrado.
4. GeraçãoGeração do certificado
Antes de gerar o certificado se certifique de que jájá criou as entradas relativas ao domíniodomínio no DNS.
4.1. CertBot\Let's Encrypt
4.1.1. NGINX:
certbot --nginx -d teste.ifsp.edu.br
4.1.2. APACHE2:
certbot --apache -d teste.ifsp.edu.br
Este comando iráirá gerar o certificado e iráirá gravar o arquivo challenge na pasta "/var/www/html/letsencrypt/.well-known/acme-challenge"
Na primeira execução,execução, o servidor iráirá fazer algumas perguntas, as respostas estãoestão listadas a seguir
root@DIR-SLNX-PRX-nginx-002:~# certbot --nginx -d teste.ifsp.edu.br
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator nginx, Installer nginx
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): ctidocampus@ifsp.edu.br
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v02.api.letsencrypt.org/directory
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(A)gree/(C)ancel: A
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about our work
encrypting the web, EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: N
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for teste.ifsp.edu.br
Waiting for verification...
Cleaning up challenges
Deploying Certificate to VirtualHost /etc/nginx/sites-enabled/teste.ifsp.edu.br
Please choose whether or not to redirect HTTP traffic to HTTPS, removing HTTP access.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: No redirect - Make no further changes to the webserver configuration.
2: Redirect - Make all requests redirect to secure HTTPS access. Choose this for
new sites, or if you're confident your site works on HTTPS. You can undo this
change by editing your web server's configuration.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 1
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Congratulations! You have successfully enabled https://teste.ifsp.edu.br
You should test your configuration at:
https://www.ssllabs.com/ssltest/analyze.html?d=teste.ifsp.edu.br
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/teste.ifsp.edu.br/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/teste.ifsp.edu.br/privkey.pem
Your cert will expire on 2020-01-28. To obtain a new or tweaked
version of this certificate in the future, simply run certbot again
with the "certonly" option. To non-interactively renew *all* of
your certificates, run "certbot renew"
- Your account credentials have been saved in your Certbot
configuration directory at /etc/letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also contain certificates and private keys obtained by Certbot so
making regular backups of this folder is ideal.
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
Feito! O Certbot automaticamente vai acessar o arquivo vhost do domíniodomínio e faráfará as alteraçõesalterações necessáriasnecessárias para incluir os novos certificados nele.
NãoNão se esqueçaesqueça de verificar os arquivos vhost em busca de algo que possa ter permanecido como lixo.
4.1.3. HAPROXY
Para que o módulomódulo standalone funcione no HAProxy durante a geraçãogeração do certificado, o HAProxy deve ser desligado momentâneamente:momentâneamente:
systemctl stop haproxy
Em seguida jájá podemos gerar o certificado
certbot certonly --standalone --preferred-challenges http --http-01-port 80 -d teste.ifsp.edu.br
E religar o serviço:serviço:
systemctl start haproxy
Em seguida configure o certificado gerado no HAproxy e aproveite para configurar o redirecionamento dos pedidos de renovaçãorenovação para o pequeno webserver do certbot (módulomódulo standalone), para isto, registramos abaixo uma configuraçãoconfiguração de exemplo completa (e editada de forma genérica)genérica) utilizada em um servidor HAproxy do IFSP, mostrada abaixo.
Esta alteraçãoalteração iráirá redirecionar o módulomódulo standalone para a porta 54321, possibilitando assim a renovaçãorenovação com o serviçoserviço do HAProxy ligado.
global
log /dev/log local0
log /dev/log local1 notice
chroot /var/lib/haproxy
stats socket /run/haproxy/admin.sock mode 660 level admin expose-fd listeners
stats timeout 30s
user haproxy
group haproxy
daemon
# Default SSL material locations
ca-base /etc/ssl/certs
crt-base /etc/ssl/private
ssl-default-bind-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA
ssl-default-bind-options no-sslv3 no-tls-tickets
ssl-default-server-ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA
ssl-default-server-options no-sslv3 no-tls-tickets
# curl https://ssl-config.mozilla.org/ffdhe2048.txt > /etc/ssl/dhparam/dhparam
ssl-dh-param-file /etc/ssl/dhparam/dhparam
defaults
log global
mode http
option httplog
option dontlognull
timeout connect 5s
timeout client 720s
timeout server 720s
errorfile 400 /etc/haproxy/errors/400.http
errorfile 403 /etc/haproxy/errors/403.http
errorfile 408 /etc/haproxy/errors/408.http
errorfile 500 /etc/haproxy/errors/500.http
errorfile 502 /etc/haproxy/errors/502.http
errorfile 503 /etc/haproxy/errors/503.http
errorfile 504 /etc/haproxy/errors/504.http
frontend frontend-dsi-docker-cluster
bind :80
bind :443 ssl crt /etc/haproxy/certs/teste.ifsp.edu.br.pem alpn h2,http/1.1
http-request redirect scheme https unless { ssl_fc }
# ACL para permitir o redirecionamento da renovacao para o lets encrypt
acl letsencrypt-acl path_beg /.well-known/acme-challenge/
http-response set-header Strict-Transport-Security max-age=63072000
# Redireciona para o lets encrypt quando a ACL respectiva for verdadeira
use_backend letsencrypt-backend if letsencrypt-acl
default_backend teste-haproxy-ifsp-cluster
backend teste-haproxy-ifsp-cluster
balance roundrobin
option forwardfor
server servidor1.ifsp.edu.br 10.10.10.1:80 check
server servidor2.ifsp.edu.br 10.10.10.2:80 check
server servidor3.ifsp.edu.br 10.10.10.3:80 check
http-request set-header X-Forwarded-Port %[dst_port]
http-request add-header X-Forwarded-Proto https if { ssl_fc }
# Backend criado para possibilitar a utilizacao do lets encrypt que por padrao tambem usa a porta 80
backend letsencrypt-backend
server letsencrypt 127.0.0.1:54321
listen stats
bind 10.10.10.4:1936
stats enable
stats hide-version
stats refresh 30s
stats show-node
stats auth username:password
stats uri /stats
Os detalhes desta configuraçãoconfiguração referentes ao "letsencrypt-backend" sãosão importantes para a renovaçãorenovação automáticaautomática dos certificados, tratadas em tópicotópico posterior.
4.2. ACME.SH
Para gerar os certificados usando o script acme.sh, use os seguintes comandos:
acme.sh --issue -d teste.ifsp.edu.br -w /var/www/teste
Agora para instalar os certificados nos WebServers:
NãoNão utilize os certificados armazenados em "~/.acme.sh/" eles sãosão para uso interno somente.
4.2.1. NGINX
Primeiro criamos a pasta que iráirá abrigar nosso certificado:
mkdir -p /etc/nginx/acme.sh/teste.ifsp.edu.br
Em seguida instalamos o certificado:
acme.sh --install-cert -d teste.ifsp.edu.br \
--cert-file /etc/nginx/acme.sh/teste.ifsp.edu.br/cert.pem \
--key-file /etc/nginx/acme.sh/teste.ifsp.edu.br/key.pem \
--fullchain-file /etc/nginx/acme.sh/teste.ifsp.edu.br/fullchain.pem \
--reloadcmd "service apache2 force-reload"
Feito isso jájá pode configurar os certificados contidos na pasta criada, adicione as seguintes linhas na configuraçãoconfiguração do seu VHost:
ssl_certificate /etc/nginx/acme.sh/teste.ifsp.edu.br/fullchain.pem;
ssl_certificate_key /etc/nginx/acme.sh/teste.ifsp.edu.br/key.pem;
ssl_trusted_certificate /etc/nginx/acme.sh/teste.ifsp.edu.br/cert.pem;
4.2.2. APACHE2
Primeiro criamos a pasta que iráirá abrigar nosso certificado:
mkdir -p /etc/apache2/acme.sh/teste.ifsp.edu.br
Em seguida instalamos o certificado:
acme.sh --install-cert -d teste.ifsp.edu.br \
--cert-file /etc/apache2/acme.sh/teste.ifsp.edu.br/cert.pem \
--key-file /etc/apache2/acme.sh/teste.ifsp.edu.br/key.pem \
--fullchain-file /etc/apache2/acme.sh/teste.ifsp.edu.br/fullchain.pem \
--reloadcmd "service apache2 force-reload"
Feito isso jájá pode configurar os certificados contidos na pasta criada, adicione as seguintes linhas na configuraçãoconfiguração do seu VHost:
SSLCertificateFile "/etc/apache2/acme.sh/teste.ifsp.edu.br/cert.pem"
SSLCertificateKeyFile "/etc/apache2/acme.sh/teste.ifsp.edu.br/key.pem"
SSLCertificateChainFile "/etc/apache2/acme.sh/teste.ifsp.edu.br/fullchain.pem"
4.2.3. HAPROXY
Os procedimentos de configuraçãoconfiguração do HAProxy sãosão os mesmos adotados para o certbot, conforme descrito acima, somente o comando para geraçãogeração do certificado seráserá alterado:
acme.sh --issue -d teste.ifsp.edu.br --standalone -d /pasta/de/destino --httpport 54321
5. DeleçãoDeleção de certificados
5.1. CertBot\Let's Encrypt
Para deletar o certificado no certbot, execute o comando abaixo:
certbot delete --cert-name teste.ifsp.edu.br
5.2. ACME.SH
acme.sh --remove -d teste.ifsp.edu.br
6. RenovaçãoRenovação automáticaautomática do certificado
6.1. CertBot\Let's Encrypt
O certificado gerado pelo Let's Encrypt tem validade de 3 meses, para renova-lo automaticamente, execute os comandos abaixo:
6.1.1. Teste para ver se se a renovaçãorenovação dos certificados ocorreráocorrerá sem erros:
certbot renew --dry-run
Se nenhuma mensagem de erro aparecer pode prosseguir para o próximopróximo passo.
6.1.2. Script para a criaçãocriação da regra no crond:
6.1.2.1. NGINX:
#!/bin/bash
touch /etc/cron.daily/letsencrypt
chmod +x /etc/cron.daily/letsencrypt
cat > /etc/cron.daily/letsencrypt <<DELIM
#!/bin/bash
/usr/bin/letsencrypt renew --renew-hook "/etc/init.d/nginx reload"
DELIM
6.1.2.2. APACHE2:
#!/bin/bash
touch /etc/cron.daily/letsencrypt
chmod +x /etc/cron.daily/letsencrypt
cat > /etc/cron.daily/letsencrypt <<DELIM
#!/bin/bash
/usr/bin/letsencrypt renew --renew-hook "/etc/init.d/apache2 reload"
DELIM
6.1.2.3. HAPROXY:
Primeiro, devemos criar um script que faráfará a mesclagem dos certificados emitidos pelo LE, o HAproxy sósó aceita certificados em Bundles:
vi /usr/local/bin/renew.sh
#!/bin/sh
SITE=teste.ifsp.edu.br
# move to the correct let's encrypt directory
cd /etc/letsencrypt/live/$SITE
# cat files to make combined .pem for haproxy
cat fullchain.pem privkey.pem > /etc/haproxy/certs/$SITE.pem
# reload haproxy
service haproxy reload
chmod u+x /usr/local/bin/renew.sh
Agora devemos alterar a porta do mini servidor wwb do certbot para utilizar outra porta que nãonão seja a 80, evitando o conflito com o HAproxy:
vi /etc/letsencrypt/renewal/teste.ifsp.edu.br.conf
# Altere este linha
http01_port = 54321
Agora vamos agendar a renovaçãorenovação com o cron:
crontab -e
30 2 * * * /usr/bin/certbot renew --post-hook "/usr/local/bin/renew.sh" >> /var/log/le-renewal.log
6.2. ACME.SH
Os certificados emitidos pelo acme.sh sãosão renovados automaticamente a cada 60 dias e nãonão necessitam de intervençãointervenção ou configuraçãoconfiguração extra.
7.0 Dicas
7.1 Verificar conteúdoconteúdo dos certificados emitidos
Para verificar o conteúdoconteúdo do certificado e suas datas de expiraçãoexpiração e criação,criação, basta utilizar o comando:
openssl x509 -in /etc/letsencrypt/live/teste.ifsp.edu.br/cert.pem -text -noout