Server Installation/Let's Encrypt

Überblick

Die unstehenden Hinweise erleichtern die Einrichtung von Let's Encrypt auf einem Opennet-Server. Somit ist es möglich, SSL-Zertifikate automatisiert zu erstellen und zu erneuern.

Einrichtung des Shell-Clients (letsencrypt-sh)

letsencrypt.sh ermöglicht die Erzeugung und Aktualisierung von letsencrypt-Zertifikaten mit einem überschaubaren bash-Skript.

In Debian Jessie ist leider noch kein letsencrypt-Client verfügbar. Hier hilft das Backports-Repository:

1. Source-Eintrag in der Datei /etc/apt/sources.list eintragen: https://backports.debian.org
2. Quellen aktualisieren: apt-get update
3. Paket installieren: apt-get install letsencrypt.sh

Anschließend erfolgt die Konfiguration für unsere Bedürfnisse:

printf "HOOK_CHAIN='yes'\nHOOK='/etc/letsencrypt.sh/hook.sh'" > /etc/letsencrypt.sh/conf.d/opennet.sh
printf '#!/bin/sh\n[ "$1" != "deploy_cert" ] || /usr/sbin/service apache2 restart' > /etc/letsencrypt.sh/hook.sh
chmod +x /etc/letsencrypt.sh/hook.sh

Falls auf dem aktuellen Host ein anderer Webserver als Apache2 zum Einsatz kommen sollte, muss der obige Hook korrigiert werden.

Domains/Zertifikate festlegen

Trage in die (neu zu erzeugende) Datei /var/lib/letsencrypt.sh/domains.txt die Domains ein, für die Zertifikate erzeugt werden sollen. Falls ein Zertifikat mehrere Namen enthalten soll, dann sind die Namen durch Leerzeichen oder Tabulatoren getrennt in eine Zeile zu schreiben. Jede Zeile entspricht einem Zertifikat.

Zertifikat-Erstellung und -Erneuerung

Einmalige manuelle Ausführung:

dehydrated --cron

Dabei werden für alle in der Datei domains.txt aufgelisteten Domains Zertifikate erzeugt.

Für die regelmäßige Ausführung sollte ein Cron-Job angelegt werden (via crontab -e):

 34 3 * * 0 letsencrypt.sh --cron >/dev/null

Integration in Dienste

Apache2

Konfigurationsdatei (für alle Domains) erzeugen:

cat >/etc/apache2/conf-available/letsencrypt-sh.conf <<EOF
<Location /.well-known/>
  <IfModule mod_proxy.c>
    ProxyPass !
  </IfModule>
  Require all granted
</Location>
Alias /.well-known/acme-challenge/ /var/lib/letsencrypt.sh/acme-challenges/
EOF
a2enconf letsencrypt-sh.conf
service apache2 restart

SSL-Zertifikate in einem VirtualHost (typischerweise auf Port 443) konfigurieren:

SSLEngine on
SSLCertificateFile      /var/lib/letsencrypt.sh/certs/DOMAIN_NAME/cert.pem
SSLCertificateKeyFile   /var/lib/letsencrypt.sh/certs/DOMAIN_NAME/privkey.pem
SSLCertificateChainFile /var/lib/letsencrypt.sh/certs/DOMAIN_NAME/chain.pem

nginx

Konfigurationsdatei (ür alle Domains) erzeugen:

cat >/etc/nginx/snippets/letsencrypt.conf <<EOF
location /.well-known/acme-challenge {
  default_type "text/plain";
  alias /var/lib/letsencrypt.sh/acme-challenges/;
}
EOF

Anschließend in jeder http-site-Konfiguration folgende Zeile einfügen:

 include /etc/nginx/snippets/letsencrypt.conf;

Jede https-site-Konfiguration sollte folgende Zeilen enthalten:

 ssl_certificate /var/lib/letsencrypt.sh/certs/ZERTIFIKAT_DOMAIN/fullchain.pem;
 ssl_certificate_key /var/lib/letsencrypt.sh/certs/ZERTIFIKAT_DOMAIN/privkey.pem;