Hatena::ブログ(Diary)

日々雑事&備考録 (Hatena Blog移行しました) このページをアンテナに追加

御用の向きは、TKXまで
tkx.dark あっと gmail.com

2003 | 09 | 10 | 11 | 12 |
2004 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2005 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2006 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2007 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2008 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2009 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 09 | 10 | 11 | 12 |
2010 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2011 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2012 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2013 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2014 | 01 | 02 | 03 | 04 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2015 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2016 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2017 | 01 | 03 | 04 | 05 | 06 | 07 | 08 | 09 | 10 | 11 | 12 |
2018 | 01 | 02 | 03 | 04 | 05 | 06 | 07 | 08 | 09 |

2018-09-02

[]MyDNS.jpLet’s Encrypt DNS認証

certbotツールは、80/443 portがほぼ必須みたいなので、portを変更してたり、https onlyだったりすると認証コケ

(というかProtocol指定やPort指定してるのに、デフォルト通信にくんなや)


かといって、MyDNS.jpだと、_acme-challenge TXTレコード登録がサポートしていなのだけど

MyDNS.jp自らが、Let’s Encrypt DNS認証ツールを公開してくれたので


詳細はこちら

-> https://github.com/disco-v8/DirectEdit/

基本この通りにやればいいんだけど


1. certbot導入

2. 各種ツール導入

なぜかreadmeどおりに、wgetしたらunzipできなかったので

# mkdir /etc/letsencrypt/DirectEdit-master
# chmod 700 /etc/letsencrypt/DirectEdit-master
# cd /etc/letsencrypt/DirectEdit-master/
# wget https://raw.githubusercontent.com/disco-v8/DirectEdit/master/txtdelete.php
# wget https://raw.githubusercontent.com/disco-v8/DirectEdit/master/txtedit.conf
# wget https://raw.githubusercontent.com/disco-v8/DirectEdit/master/txtregist.php
# chmod 600 ./*.conf
# chmod 700 ./*.php

3. txtedit.conf修正

$MYDNSJP_MASTERID  = 'yourmasterid';
$MYDNSJP_MASTERPWD = 'yourpasswd';
$MYDNSJP_DOMAIN = 'yourdomain';

4. certbot証明書取得

--dry-runオプションで事前チェックしておくのが良いか

certbot certonly --manual --preferred-challenges=dns \
--manual-auth-hook /etc/letsencrypt/DirectEdit-master/txtregist.php \
--manual-cleanup-hook /etc/letsencrypt/DirectEdit-master/txtdelete.php \
-d <Domain> \
--server https://acme-v02.api.letsencrypt.org/directory \
--agree-tos -m <Mail Address> --manual-public-ip-logging-ok

5. 無事成功して /etc/letsencrypt/live/<domain> の下に鍵が生成される

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/<Domain>/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/<Domain>/privkey.pem
   Your cert will expire on 2018-11-30. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

6. Nginxのconf書き換え

Nginxドメイン設定ファイルを以下に修正

server {
    listen       <Port> ssl http2;
    server_name  <Domain>;

    ssl_certificate /etc/letsencrypt/live/<Domain>/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/<Domain>/privkey.pem;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;
    ssl_session_tickets on;

7. Nginxのreload

Configチェックして問題なければ reload

# nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
# systemctl restart nginx

8. サイトアクセスして証明書更新されているか確認


一応これでいけることが判った

あとは毎月一回コマンドを実行すれば、証明書更新される

後日自動実行するように仕込む予定だけど、cron嫌いなんだよねえ

ま、業務とかみたいに何十台もLinuxあるわけじゃないから、各サーバーで何が実行されてるかよくわからないことにはならないけど


http/https認証は、httpが必須っぽかったり、Portがデフォルト必須ぽいので

個人的に建てているサイト場合はこれが一番いいか

2018-06-03

[][][][]CentOS 7 + Nginx + rep2 で HTTPS & HTTP/2化

最近ブラウザーは、httpではなくhttpsでないと

危険サイト扱いされて表示そのものが出来無くなってくるとの事で

rep2サイトHTTPS化を実行


ついでにHTTP/2化も同時に実施する

HTTP/2は規格としてはHTTPSとは別立てで、HTTP Server側で一言設定を入れることでHTTPSとは別に設定が可能だが

ChromeFirefoxSafariブラウザ側の実装として、HTTP/2はHTTPSとセットになっていないとデコードできない現実がある

その為 HTTP/2の前提条件として、HTTPS実装必要になる


SSL証明書については、無料Let's Encrypt使用するとして

certbot使用すると秘密鍵生成まで自動してくれる


Let's Encryptの非公式日本語解説サイトもあるので、一通り読んでおくと良い

(但し情報が古すぎてイマイチ使えないのだが)


CentOS場合、EPELリポジトリcertbot パッケージが格納されているので

EPELリポジトリを導入するが、通常EPELリポジトリは導入しているのでスキップ


ちなみに今回

自宅サーバーなので、HTTPS化実施した場合HTTPSのPortだけ開放してHTTPポートを閉じようと考えている

Webの色々なやり方を見ていると、HTTPSだけポート開放した例が見当たらなかったので

更新の時に試行錯誤しような予感・・・


# yum install certbot

certbot パッケージと依存関係のあるパッケージ 40個程インストール


certbotのVerは結構頻繁に変わっており、それに伴ってオプションも色々変更あるみたいなので

現行のVer(0.24.0-1.el7)のOptionを確認

# certbot --help

-------------------------------------------------------------------------------

  certbot [SUBCOMMAND] [options] [-d DOMAIN] [-d DOMAIN] ...

Certbot can obtain and install HTTPS/TLS/SSL certificates.  By default,
it will attempt to use a webserver both for obtaining and installing the
certificate. The most common SUBCOMMANDS and flags are:

obtain, install, and renew certificates:
    (default) run   Obtain & install a certificate in your current webserver
    certonly        Obtain or renew a certificate, but do not install it
    renew           Renew all previously obtained certificates that are near
expiry
    enhance         Add security enhancements to your existing configuration
   -d DOMAINS       Comma-separated list of domains to obtain a certificate for

  (the certbot apache plugin is not installed)
  --standalone      Run a standalone webserver for authentication
  (the certbot nginx plugin is not installed)
  --webroot         Place files in a server's webroot folder for authentication
  --manual          Obtain certificates interactively, or using shell script
hooks

   -n               Run non-interactively
  --test-cert       Obtain a test certificate from a staging server
  --dry-run         Test "renew" or "certonly" without saving any certificates
to disk

manage certificates:
    certificates    Display information about certificates you have from Certbot
    revoke          Revoke a certificate (supply --cert-path)
    delete          Delete a certificate

manage your account with Let's Encrypt:
    register        Create a Let's Encrypt ACME account
  --agree-tos       Agree to the ACME server's Subscriber Agreement
   -m EMAIL         Email address for important account notifications

More detailed help:

  -h, --help [TOPIC]    print this message, or detailed help on a topic;
                        the available TOPICS are:

   all, automation, commands, paths, security, testing, or any of the
   subcommands or plugins (certonly, renew, install, register, nginx,
   apache, standalone, webroot, etc.)
-------------------------------------------------------------------------------

こんな感じで実行すれば取り敢えず大丈夫かな

dry-run試行

certbot certonly --dry-run --webroot --http-01-port 8080 -w <DocumentRoot> -d <Domain> -m <Mail Address>

HTTPのportを変更していたので、http-01-portオプション指定したのだが、確かにcertbot は 8080でポート確認しているのに

アクセスしてきてるのがデフォルトの 80 とか

なんだ、このバカ仕様


これじゃPort変更しているサイトは全てダメなんじゃないかと思ったり

という所で一旦終了


なんか素直に安い証明書調達したほうが楽な気がしてきた _no

なんだけど、mydns.jpだとそういうわけにもいかないしなあ


追記

サイトによっては、Nginx側にサーバーチェック用ディレクトリ設定を入れる必要があると記載がある

    location ^~ /.well-known/acme-challenge/ {
      root /usr/share/nginx/html/.well-known;

certbot実行中にディレクトリ作成されるのは確認していたけど、アクセス権の絡みで失敗していたんかな??

改めて後日検証してみるか

1209452
サーチ:
キーワード:
Amazon.co.jpアソシエイト