安卓系统

让我们在centos 8上加密来保护Apache

Week 8, continued

Week 8, continued

目录:

Anonim

让我们加密是由Internet安全研究组（ISRG）开发的免费，自动化和开放的证书颁发机构，它提供免费的SSL证书。

Let's Encrypt颁发的证书受到所有主要浏览器的信任，并且自颁发之日起有效期为90天。

本教程说明了如何在运行Apache作为Web服务器的CentOS 8上安装免费的Let's Encrypt SSL证书。 我们将使用certbot工具获取并更新证书。

先决条件

在继续之前，请确保满足以下先决条件：

  • 有一个指向您的公共服务器IP的域名。 我们将使用 example.com .Apache已在服务器上安装并运行，并为您的域配置了虚拟主机。端口80和443在防火墙中处于打开状态。

安装以下SSL加密的Web服务器所需的软件包：

sudo dnf install mod_ssl openssl

安装mod_ssl软件包后，应为本地主机创建一个自签名密钥和证书文件。 如果未自动创建文件，则可以使用 openssl 命令创建它们：

sudo openssl req -newkey rsa:4096 -x509 -sha256 -days 3650 -nodes \ -out /etc/pki/tls/certs/localhost.crt \ -keyout /etc/pki/tls/private/localhost.key

安装Certbot

Certbot是一个免费的命令行工具，它简化了从服务器获取和续订Let's Encrypt SSL证书并自动启用HTTPS的过程。

certbot软件包不包含在标准CentOS 8存储库中，但可以从供应商的网站上下载。

以root或sudo用户身份运行以下 wget 命令，将certbot脚本下载到 /usr/local/bin 目录：

sudo wget -P /usr/local/bin

下载完成后，使文件可执行：

sudo chmod +x /usr/local/bin/certbot-auto

产生强Dh（Diffie-Hellman）组

Diffie-Hellman密钥交换（DH）是一种在不安全的通信通道上安全地交换加密密钥的方法。 生成一组新的2048位DH参数以增强安全性：

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

您最多可以将大小更改为4096位，但是生成时间可能会超过30分钟，具体取决于系统熵。

获取“让我们加密SSL”证书

为了获得该域的SSL证书，我们将使用Webroot插件，该插件通过在 ${webroot-path}/.well-known/acme-challenge 目录中创建一个用于验证请求的域的临时文件来工作。 Let's Encrypt服务器向临时文件发出HTTP请求，以验证请求的域是否解析为certbot运行的服务器。

为了使设置更简单，我们将所有针对 .well-known/acme-challenge HTTP请求映射到一个目录 /var/lib/letsencrypt 。

运行以下命令以创建目录并使该目录可用于Apache服务器。

sudo mkdir -p /var/lib/letsencrypt/.well-known sudo chgrp apache /var/lib/letsencrypt sudo chmod g+s /var/lib/letsencrypt

为避免重复代码并使配置更易于维护，请创建以下两个配置片段：

/etc/httpd/conf.d/letsencrypt.conf

Alias /.well-known/acme-challenge/ "/var/lib/letsencrypt/.well-known/acme-challenge/" AllowOverride None Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec Require method GET POST OPTIONS Alias /.well-known/acme-challenge/ "/var/lib/letsencrypt/.well-known/acme-challenge/" AllowOverride None Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec Require method GET POST OPTIONS /etc/httpd/conf.d/ssl-params.conf

SSLCipherSuite EECDH+AESGCM:EDH+AESGCM # Requires Apache 2.4.36 & OpenSSL 1.1.1 SSLProtocol -all +TLSv1.3 +TLSv1.2 SSLOpenSSLConfCmd Curves X25519:secp521r1:secp384r1:prime256v1 # Older versions # SSLProtocol All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 SSLHonorCipherOrder On Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" Header always set X-Frame-Options DENY Header always set X-Content-Type-Options nosniff # Requires Apache >= 2.4 SSLCompression off SSLUseStapling on SSLStaplingCache "shmcb:logs/stapling-cache(150000)" # Requires Apache >= 2.4.11 SSLSessionTickets Off SSLOpenSSLConfCmd DHParameters "/etc/ssl/certs/dhparam.pem"

上面的代码段使用的是Cipherli.st建议的削片机。 它启用OCSP装订，HTTP严格传输安全性（HSTS），Dh密钥，并强制执行少量以安全性为重点的HTTP标头。

重新加载Apache配置以使更改生效：

sudo systemctl reload

现在，您可以使用webroot插件运行certbot脚本并获取SSL证书文件：

sudo /usr/local/bin/certbot-auto certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com

成功后，certbot将打印以下消息：

IMPORTANT NOTES: - Congratulations! Your certificate and chain have been saved at: /etc/letsencrypt/live/example.com/fullchain.pem Your key file has been saved at: /etc/letsencrypt/live/example.com/privkey.pem Your cert will expire on 2020-01-26. To obtain a new or tweaked version of this certificate in the future, simply run certbot-auto again. To non-interactively renew *all* of your certificates, run "certbot-auto renew" - Your account credentials have been saved in your Certbot configuration directory at /etc/letsencrypt. You should make a secure backup of this folder now. This configuration directory will also contain certificates and private keys obtained by Certbot so making regular backups of this folder is ideal. - If you like Certbot, please consider supporting our work by: Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate Donating to EFF:

现在已完成所有设置，按如下所示编辑域虚拟主机配置：

/etc/httpd/conf.d/example.com.conf

ServerName example.com ServerAlias www.example.com Redirect permanent / https://example.com/ ServerName example.com ServerAlias www.example.com Protocols h2 http:/1.1 Redirect permanent / https://example.com/ DocumentRoot /var/www/example.com/public_html ErrorLog /var/log/httpd/example.com-error.log CustomLog /var/log/httpd/example.com-access.log combined SSLEngine On SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem # Other Apache Configuration ServerName example.com ServerAlias www.example.com Redirect permanent / https://example.com/ ServerName example.com ServerAlias www.example.com Protocols h2 http:/1.1 Redirect permanent / https://example.com/ DocumentRoot /var/www/example.com/public_html ErrorLog /var/log/httpd/example.com-error.log CustomLog /var/log/httpd/example.com-access.log combined SSLEngine On SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem # Other Apache Configuration ServerName example.com ServerAlias www.example.com Redirect permanent / https://example.com/ ServerName example.com ServerAlias www.example.com Protocols h2 http:/1.1 Redirect permanent / https://example.com/ DocumentRoot /var/www/example.com/public_html ErrorLog /var/log/httpd/example.com-error.log CustomLog /var/log/httpd/example.com-access.log combined SSLEngine On SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem # Other Apache Configuration ServerName example.com ServerAlias www.example.com Redirect permanent / https://example.com/ ServerName example.com ServerAlias www.example.com Protocols h2 http:/1.1 Redirect permanent / https://example.com/ DocumentRoot /var/www/example.com/public_html ErrorLog /var/log/httpd/example.com-error.log CustomLog /var/log/httpd/example.com-access.log combined SSLEngine On SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem # Other Apache Configuration

上面的配置是强制HTTPS并从www重定向到非www版本。 它还启用HTTP / 2，这将使您的网站更快，更健壮。 随意根据您的需要调整配置。

重新启动Apache服务：

sudo systemctl restart

现在，您可以使用 https:// 打开网站，您会注意到一个绿色的锁图标。

自动更新让我们加密SSL证书

让我们加密的证书有效期为90天。 要在证书过期之前自动续订证书，我们将创建一个cronjob，该证书每天运行两次，并在证书过期前30天自动续订任何证书。

运行以下命令以创建一个新的cronjob，它将更新证书并重新启动Apache：

echo "0 0, 12 * * * root python3 -c 'import random; import time; time.sleep(random.random() * 3600)' && /usr/local/bin/certbot-auto -q renew --renew-hook \"systemctl reload httpd\"" | sudo tee -a /etc/crontab > /dev/null

要测试续订过程，请使用certbot命令，然后使用 --dry-run 开关：

sudo /usr/local/bin/certbot-auto renew --dry-run

如果没有错误，则表示更新过程成功。

结论

在本教程中，我们讨论了如何在CentOS上使用Let's Encrypt客户端certbot获得您域的SSL证书。 您还展示了如何配置Apache以使用证书，以及如何设置cronjob来自动更新证书。

要了解有关Certbot脚本的更多信息，请访问Certbot文档。

让我们加密certbot ssl

让我们在centos 7上加密来保护nginx

让我们在centos 7上加密来保护nginx

在本教程中，我们将提供有关如何使用CentOS 7上的certbot工具通过Let's Encrypt保护Nginx的逐步说明。

让我们在centos 7上加密来保护Apache

让我们在centos 7上加密来保护Apache

在本教程中，我们将介绍在运行Apache作为Web服务器的CentOS 7服务器上安装免费的Let's Encrypt SSL证书的必要步骤。

让我们在centos 8上加密来保护nginx

让我们在centos 8上加密来保护nginx

在本教程中，我们将提供有关如何在运行Nginx作为Web服务器的CentOS 8上安装免费的Let's Encrypt SSL证书的分步说明。 我们还将展示如何配置Nginx以使用SSL证书并启用HTTP / 2。