Все дальнейшие манипуляции будут выполняться на ОС Ubuntu 16.04. В качестве веб-сервера используем nginx. Предполагается что сам nginx у вас уже установлен.
Устанавливаем пакет LetsEncrypt на наш сервер:
sudo apt-get update
sudo apt-get install letsencrypt -y
Для валидации нашего домена серверами LetsEncrypt будем использовать метод Web-root. Суть этого метода заключается в создании директории .well-known в публичной части нашего приложения, которую будет посещать бот LetsEncrypt.
В конфигурации вашего приложения nginx, в директории server необходимо добавить следующий локейнш:
location ~ /.well-known {
allow all;
}
Не забываем после внесения изменений в конфигурационный файл перезагрузить nginx:
sudo service nginx restart
Итак, теперь переходим к процедуре генерации сертификата. Допустим, наше приложение располагается по следующему пути:
/home/deploy/example.com/current # корень приложения
/home/deploy/example.com/current/public # публичная директория
Запускаем процедуру выпуска сертификата:
sudo letsencrypt certonly -a webroot --webroot-path=/home/deploy/example.com/current/public -d example.com -d www.example.com
После этого необходимо ввести электронную почту (на нее будут приходить уведомления об истечении выпущенного сертификата) и принять лицензионное соглашение.
Если все прошло хорошо, то вы должны увидеть 4 созданных файла .pem:
ls -la /etc/letsencrypt/live/example.com
lrwxrwxrwx 1 root root 42 May 28 16:15 cert.pem -> ../../archive/example.com/cert1.pem
lrwxrwxrwx 1 root root 43 May 28 16:15 chain.pem -> ../../archive/example.com/chain1.pem
lrwxrwxrwx 1 root root 47 May 28 16:15 fullchain.pem -> ../../archive/example.com/fullchain1.pem
lrwxrwxrwx 1 root root 45 May 28 16:15 privkey.pem -> ../../archive/example.com/privkey1.pem
Теперь, используя OpenSSL нужно сгенерировать файл dhparam.pem (параметры для Диффи-Хеллмана), для лучшей безопасности, длину ключа выберем 2048 бит.
mkdir /etc/letsencrypt/certs
sudo openssl dhparam -out /etc/letsencrypt/certs/dhparam_example_com.pem 2048
Почти все готово, осталось только сделать изменения в конфигурации nginx:
# редирект с www
server {
listen 80;
server_name www.example.com;
return 301 https://example.com$request_uri;
}
# редирект на https
server {
listen 80;
server_name example.com;
return 301 https://$server_name$request_uri;
server_tokens off;
}
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_session_timeout 5m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_dhparam /etc/letsencrypt/certs/dhparam_example_com.pem;
server_tokens off;
root /home/deploy/www/example.com/current/public;
passenger_enabled on;
passenger_ruby /home/deploy/.rvm/wrappers/ruby-2.4.0/ruby;
location ~ /.well-known {
allow all;
}
location ~* ^.+\.(rss|atom|jpg|jpeg|gif|png|ico|rtf|js|css|svg)$ {
gzip_static on;
expires max;
add_header Cache-Control public;
}
client_max_body_size 2m;
error_page 500 502 503 504 /500.html;
keepalive_timeout 10;
}
Настраиваем автопродление сертификата:
# открываем crontab
crontab -e
# записываем задания
0 3 * * 1 sudo letsencrypt renew
0 3 * * 1 sudo service nginx reload
Каждый понедельник, в 03:00 будет запускаться ПО от LetsEncrypt, которое при необходимости продлит сертификат и перезагрузит нашу конфигурацию nginx.