在 Ubuntu 20.04 上使用 Let’s Encrypt 保护 Apache

雪梦科技

发布于 2020-07-14 11:29:29

3K0

发布于 2020-07-14 11:29:29

文章被收录于专栏：ITCoder

Let’s Encrypt 是一个免费的，自动的，开放证书供应商。它由提供免费 SSL 证书的 Internet Security Research Group（ISRG）开发。

由 Let’s Encrypt 签发的证书，被大部分浏览器信任，并且从签发当日起 90 天内有效。

这篇指南讲解在运行着 Apache 网站服务器的 Ubuntu 20.04 上如何安装一个免费的 Let’s Encrypt SSl 证书。我们还想展示如何配置 Apache 使用 SSL 证书，并且启用 HTTP/2。

一、前提条件

请先确保以下前提条件，再继续后面的步骤：

以 root 或者其他有 sudo 权限的用户身份登录
你想要获取 SSL 证书的域名必须指向你的服务器公网 IP。我们这里使用example.com。
在你的服务器上，Apache 已经安装。

二、安装 Certbot

我们使用 certbot 来获取证书。它是一个命令行工具，用来自动执行获取和刷新 Let’s Encrypt SSL 证书的任务。

certbot 软件包被包含在默认的 Ubuntu 软件源中。使用下面的命令升级软件包列表，并且安装 cerbot：

sudo apt update
sudo apt install certbot

三、生成强大的 Dh(Diffie-Hellman) 组

Diffie–Hellman key(DH)是一个在不安全通讯频道的安全交换密码的方案。产生一个 2048 位的 DH 因子来加强安全性：

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

你可以将大小提高到 4096 位，但是依赖系统熵，产生过程可能会超过 30 分钟。

四、获取一个 Let’s Encrypt SSL 证书

想要为域名获得一个 SSL 证书，我们必须先使用 WeBroot 插件创建一个临时文件，用来验证${webroot-path}/.well-known/acme-challenge目录下的域名。 Let’s Encrypt 服务器请求这个临时文件，来验证域名。 Let’s Encrypt 服务器向临时文件发出 HTTP 请求，用来验证域名指向的服务器，就是 cerbot 运行的这个服务器。

想要使得步骤变得简单，我们将所有.well-known/acme-challenge的 HTTP 请求放进一个简单文件夹，/var/lib/letsencrypt。

运行下面的命令创建文件夹，并且使得它对于 Apache 服务器来说可写。

sudo mkdir -p /var/lib/letsencrypt/.well-known
sudo chgrp www-data /var/lib/letsencrypt
sudo chmod g+s /var/lib/letsencrypt

想要避免重复代码，并且使得配置可维护，创建以下两个配置代码片段：

/etc/apache2/conf-available/letsencrypt.conf

Alias /.well-known/acme-challenge/ "/var/lib/letsencrypt/.well-known/acme-challenge/"
<Directory "/var/lib/letsencrypt/">
    AllowOverride None
    Options MultiViews Indexes SymLinksIfOwnerMatch IncludesNoExec
    Require method GET POST OPTIONS
</Directory>

/etc/apache2/conf-available/ssl-params.conf

SSLProtocol             all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder     off
SSLSessionTickets       off

SSLUseStapling On
SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"

SSLOpenSSLConfCmd DHParameters "/etc/ssl/certs/dhparam.pem" 

Header always set Strict-Transport-Security "max-age=63072000"

上面的代码段使用了Mozilla推荐的加密配置。它启用了 OCSP，HTTP Strict Transport Security (HSTS), Dh key, 并且强制加上几个聚焦安全的 HTTP headers。

在启用配置文件之前，确保mod_ssl和mod_headers被启用：

sudo a2enmod ssl
sudo a2enmod headers

下一步，使用下面的命令，启用 SSL 配置文件：

sudo a2enconf letsencrypt
sudo a2enconf ssl-params

启用 HTTP/2 模块，它将会使你的网站更快，更健壮。

sudo a2enmod http2

重新加载 Apache 配置，使得修改生效：

sudo systemctl reload apache2

现在我们可以运行 Certbot 工具，配合 webroot 插件，用来获取 SSL 证书文件：

sudo certbot certonly --agree-tos --email admin@example.com --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com

如果成功获取 SSL 证书，certbot 将会打印下面的信息：

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/example.com/privkey.pem
   Your cert will expire on 2020-10-06. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

现在你已经拥有证书文件，编辑你的域名虚拟主机目录如下： /etc/apache2/sites-available/example.com.conf

<VirtualHost *:80> 
  ServerName mail.digital.mk

  Redirect permanent / https://mail.digital.mk/
</VirtualHost>

<VirtualHost *:443>
  ServerName mail.digital.mk

  Protocols h2 http:/1.1

  <If "%{HTTP_HOST} == 'www.mail.digital.mk'">
    Redirect permanent / https://mail.digital.mk/
  </If>

  DocumentRoot /var/www/mail.digital.mk/public_html
  ErrorLog ${APACHE_LOG_DIR}/mail.digital.mk-error.log
  CustomLog ${APACHE_LOG_DIR}/mail.digital.mk-access.log combined

  SSLEngine On
  SSLCertificateFile /etc/letsencrypt/live/mail.digital.mk/fullchain.pem
  SSLCertificateKeyFile /etc/letsencrypt/live/mail.digital.mk/privkey.pem

  # Other Apache Configuration

</VirtualHost>

上面的配置强制使用 HTTPS，并且将 www 强制转向 non-www 版本。你可以按照你的需求随意修改配置文件。

重新加载 Apache 配置，使得修改生效：

sudo systemctl reload apache2

你现在可以使用 https:// 打开你的网站，你将看到一个绿色的锁图标。

如果你使用SSL Labs Server Test测试你的域名，你将会获得一个 A+等级，就像下面一样：

五、自动刷新 Let’s Encrypt SSL 证书

Let’s Encrypt 的证书只有 90 天有效期。想要在过期之前自动刷新证书，我们需要创建一个 cronjob，它将会一天运行两次，并且在证书过期前 30 天左右刷新证书。

一旦证书刷新，我们需要重新加载 Apache 服务。附加--renew-hook "systemctl reload apache2"到/etc/cron.d/certbot文件，看起来就像下面这样：

运行下面的命令创建一个新的 cronjob，它将会刷新证书，并且重启 Apache：

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload apache2"

想要测试刷新过程，使用 certbot 命令加上--dry-run选项：