Настройка SSL для Rails приложения через LetsEncrypt

Все дальнейшие манипуляции будут выполняться на ОС Ubuntu 16.04. В качестве веб-сервера используем nginx. Предполагается что сам nginx у вас уже установлен.

Устанавливаем пакет LetsEncrypt на наш сервер:

sudo apt-get update
sudo apt-get install letsencrypt -y

Для валидации нашего домена серверами LetsEncrypt будем использовать метод Web-root. Суть этого метода заключается в создании директории .well-known в публичной части нашего приложения, которую будет посещать бот LetsEncrypt.

В конфигурации вашего приложения nginx, в директории server необходимо добавить следующий локейнш:

location ~ /.well-known {
  allow all;
}

Не забываем после внесения изменений в конфигурационный файл перезагрузить nginx:

sudo service nginx restart

Итак, теперь переходим к процедуре генерации сертификата. Допустим, наше приложение располагается по следующему пути:

/home/deploy/example.com/current # корень приложения
/home/deploy/example.com/current/public # публичная директория

Запускаем процедуру выпуска сертификата:

sudo letsencrypt certonly -a webroot --webroot-path=/home/deploy/example.com/current/public -d example.com -d www.example.com

После этого необходимо ввести электронную почту (на нее будут приходить уведомления об истечении выпущенного сертификата) и принять лицензионное соглашение.

Если все прошло хорошо, то вы должны увидеть 4 созданных файла .pem:

ls -la /etc/letsencrypt/live/example.com
lrwxrwxrwx 1 root root   42 May 28 16:15 cert.pem -> ../../archive/example.com/cert1.pem
lrwxrwxrwx 1 root root   43 May 28 16:15 chain.pem -> ../../archive/example.com/chain1.pem
lrwxrwxrwx 1 root root   47 May 28 16:15 fullchain.pem -> ../../archive/example.com/fullchain1.pem
lrwxrwxrwx 1 root root   45 May 28 16:15 privkey.pem -> ../../archive/example.com/privkey1.pem

Теперь, используя OpenSSL нужно сгенерировать файл dhparam.pem (параметры для Диффи-Хеллмана), для лучшей безопасности, длину ключа выберем 2048 бит.

mkdir /etc/letsencrypt/certs
sudo openssl dhparam -out /etc/letsencrypt/certs/dhparam_example_com.pem 2048

Почти все готово, осталось только сделать изменения в конфигурации nginx:

# редирект с www
server {
  listen 80;
  server_name www.example.com;
  return 301 https://example.com$request_uri;
}

# редирект на https
server {
  listen 80;
  server_name example.com;
  return 301 https://$server_name$request_uri;
  server_tokens off;
}

server {
  listen 443 ssl http2;
  server_name example.com;

  ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

  ssl_session_timeout 5m;
  ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
  ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
  ssl_prefer_server_ciphers on;
  ssl_session_cache shared:SSL:10m;

  ssl_dhparam /etc/letsencrypt/certs/dhparam_example_com.pem;
  server_tokens off;

  root /home/deploy/www/example.com/current/public;
  passenger_enabled on;
  passenger_ruby /home/deploy/.rvm/wrappers/ruby-2.4.0/ruby;

  location ~ /.well-known {
    allow all;
  }

  location ~* ^.+\.(rss|atom|jpg|jpeg|gif|png|ico|rtf|js|css|svg)$ {
    gzip_static on;
    expires max;
    add_header Cache-Control public;
  }

  client_max_body_size 2m;
  error_page 500 502 503 504 /500.html;
  keepalive_timeout 10;
}

Настраиваем автопродление сертификата:

# открываем crontab
crontab -e

# записываем задания
0 3 * * 1 sudo letsencrypt renew
0 3 * * 1 sudo service nginx reload

Каждый понедельник, в 03:00 будет запускаться ПО от LetsEncrypt, которое при необходимости продлит сертификат и перезагрузит нашу конфигурацию nginx.