Letsencrypt/fr
 | |
| letsencrypt logo | |
| Maintainer | John Crisp |
|---|---|
| Url | https://github.com/dehydrated-io/dehydrated |
| Licence | MIT license |
| Category | |
| Tags | dehydrated, letsencrypt, dns, http, ssl |
Mainteneur
John Crisp
Version
Description
Let’s Encrypt est une nouvelle Autorité de Certification (CA) : c'est gratuit, automatique et libre. Son but principal est de permettre aux gens de crypter leur trafic gratuitement, facilement et automatiquement. Les certificats délivrés doivent être renouvelés tous les 3 mois.
En décembre 2015, le service Letsencrypt était dans un stade bêta public. Let's Encrypt (LE) émet des certificats de confiance valides, mais le code du client (et, dans une moindre mesure, le code du serveur) est susceptible d'être dans un état fluctuant. Au cours des étapes initiales du bêta public, LE met en œuvre une limitation de débit, en n'autorisant pas plus de cinq certificats par domaine sur une période de sept jours consécutifs. Cela peut les rendre impropres aux utilisateurs de services DNS dynamiques. Les dernières informations sur la limitation des quantités sont publiées sur cette page de la documentation letsencrypt.org. Au 26 mars 2016, le nombre limite a été augmenté à 20 certificats par domaine par semaine.
Si vous allez faire des tests qui nécessiteraient de demander beaucoup de certificats dans un court laps de temps, nous vous encourageons à utiliser l'autorité de certification intermédiaire (staging CA) Letsencrypt à cette fin. Les certificats générés par cette CA ne seront pas approuvés par votre navigateur et sembleront être émis par « Fake LE Intermédiate X1 », mais il vous permettra de valider l'ensemble des outils et flux de travail.
L'état actuel des services Letsencrypt peut être trouvé sur leur page.
Plusieurs clients sont disponibles pour les services Letsencrypt. Le client « certbot » officiel de letsencrypt.org est assez complet mais possède un certain nombre de dépendances qu'il est nécessaire d'installer. Il nécessite aussi une version plus récente de Python que celle fournie avec une installation de serveur KOOZALI SME standard. En raison de cette complexité et du manque de compatibilité avec SME 8.X, ce document décrit l'installation et l'utilisation de dehydrated, un client alternatif mis en œuvre en tant que script shell BASH.
Prérequis
Le client et le serveur Letsencrypt interagissent pour confirmer que la personne demandant un certificat pour un nom d'hôte contrôle réellement cet hôte. Pour cette raison, il y a quelques prérequis pour votre configuration. Par exemple, si vous essayez d'obtenir un certificat pour www.exemple.com, les conditions suivantes doivent être remplies :
- www.exemple.com est un nom de domaine valide - le domaine a été enregistré et les enregistrements DNS sont publiés en ce sens ;
- la résolution de www.exemple.com aboutit à votre serveur SME - les enregistrements DNS publiés donnent l'adresse IP externe de votre serveur SME interrogé pour www.exemple.com ;
- votre serveur SME est connecté à Internet et est capable d'établir des connexions sortantes sur les ports 80 et 443 ;
- le port 80 de votre serveur SME est ouvert sur Internet (c'est-à-dire qu'Internet peut atteindre votre serveur sur le port 80) - vous n'êtes pas derrière un pare-feu ou un filtrage du FAI qui le bloquerait. Si vous avez rendu SSL obligatoire pour la baie d'information « Primary », le port 443 doit être ouvert.
Letsencrypt souhaite que les certificats d'émission incluent plusieurs noms d'hôte (par exemple, www.exemple.com, exemple.com et mail.exemple.com), qui feraient tous partie de la demande. Tout ce qui précède doit être vrai pour tous les noms d'hôte que vous souhaitez inclure dans le certificat.
Assurez-vous que vous avez toute cette configuration en place avant.
Préparation
Avant de commencer l'installation, effectuez une vérification pour voir si vous ou une contribution installée, auraient configuré des valeurs personnalisées sur votre certificat TLS/SSL :
# config show modSSL
Par défaut, cela devrait afficher :
modSSL=service
TCPPort=443
access=public
status=enabled
Si cela affiche des valeurs pour crt, key ou CertificateChainFile, notez-les. Si vous rencontrez un problème avec les fichiers du certificat généré par Letsencrypt, vous pourrez revenir à vos modifications. Pour effectuer une «sauvegarde» de votre clé et de vos propriétés existantes, vous pouvez émettre :
config show modSSL > "/root/db_configuration_modSSL_backup_$(date +%Y%m%d_%H%M%S)"
Installation de la contribution de Dehydrated letsencrypt
John Crisp a préparé le fichier pour le script de Dehydrated, en créant les fichiers de configuration appropriés et en l'intégrant au système de modèles SME. C'est la manière la plus simple d'installer Dehydrated sur votre serveur KOOZALI SME.
yum install smeserver-letsencrypt
Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ».
Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut.
db yum_repositories setprop smeaddons status enabled signal-event yum-modify
Installation
yum install smeserver-letsencrypt signal-event console-save
Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ». Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut.
db yum_repositories setprop smeaddons status enabled signal-event yum-modify
Votre serveur disposera de mises à jour disponibles dans le dépôt smecontribs. Si vous avez déjà installé smeserver-letsencrypt à partir du dépôt « reetp », vous devez vous assurer que vous avez défini la propriété de configuration de « ACCEPT_TERMS » :
Ré-actualisation
Quelques problèmes signalés lors de la mise à niveau des contributions, voir Bugzilla:10286 and Bugzilla:10097
Une mise à jour complète peut être effectuée comme suit :
yum update smeserver-letsencrypt dehydrated config setprop letsencrypt ACCEPT_TERMS yes signal-event console-save
Ne pas le faire pourrait laisser la contribution hors service et vos certificats ne seraient pas renouvelés.
Configuration
Il y a plusieurs configurations d'entrées de la base de données qui doivent être faites afin de mettre en place cette contribution. La plupart d'entre elles indiquent aux scripts quels noms d'hôte doivent faire partie de votre certificat.
Exemples de démarrage rapide
Pour le test (régler les domaines et les hôtes) :
config setprop letsencrypt ACCEPT_TERMS yes status test # tâche très rapide pour activer le domaine principal : db domains setprop $(config get DomainName) letsencryptSSLcert enabled #pour chacun de vos domaines pour lesquels vous voulez le SSL, faites : db domains setprop domain1.com letsencryptSSLcert enabled #pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites : db hosts setprop www.domain1.com letsencryptSSLcert enabled signal-event smeserver-letsencrypt-update dehydrated -c
config setprop letsencrypt ACCEPT_TERMS yes status test API 2 #pour chacun de vos domaines pour lesquels vous voulez le SSL, faites : db domains setprop domain1.com letsencryptSSLcert enabled #pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites : db hosts setprop www.domain1.com letsencryptSSLcert enabled signal-event console-save dehydrated -c
Vérifiez que les certificats sont valables (votre fureteur détectera encore une erreur mais vous pouvez explorer le contenu du certificat pour voir que l'Autorité de Certification (CA en anglais) a été utilisée pour signer votre certificat SSL et que tous vos domaines et hôtes sont dans la propriété « Autre nom de l'objet du certificat ».
Pour la production (régler votre adresse électronique):
config setprop letsencrypt status enabled email admin@$(config get DomainName) signal-event smeserver-letsencrypt-update dehydrated -c -x
config setprop letsencrypt status enabled email admin@domain1.com signal-event console-save dehydrated -c -x
Configuration étape par étape
Hôtes et domaines du certificat
Cette contribution permettra d'obtenir un seul certificat de Let's Encrypt. Le certificat inclura tous les domaines et noms d'hôtes qui :
- sont configurés sur votre serveur KOOZALI SME (par exemple via le gestionnaire du serveur), et
- sont configurés pour utiliser Let's Encrypt.
Par exemple, votre serveur KOOZALI SME peut contenir les domaines et les noms d'hôtes suivants :
- domaine1.com
- www.domaine1.com
- mail.domaine1.com
- ftp.domaine1.com
- domaine2.com
- www.domaine2.com
- mail.domaine2.com
Pour chaque DOMAINE que vous voulez voir inclus dans le certificat, exécutez cette commande :
db domains setprop $DOMAINE letsencryptSSLcert enabled
En utilisant l'exemple ci-dessus, une invocation de la commande ressemblerait à ceci :
db domains setprop domaine1.com letsencryptSSLcert enabled
Pour chaque NOM_D_HOTE que vous voulez voir inclus dans le certificat, exécutez cette commande :
db hosts setprop $NOM_D_HOTE letsencryptSSLcert enabled
En utilisant l'exemple ci-dessus, une invocation de la commande ressemblerait à ceci :
db hosts setprop www.domaine1.com letsencryptSSLcert enabled
Vous pouvez obtenir un certificat pour l'un des ensembles suivants :
- tous les domaines,
- tous les noms d'hôtes ou
- tous les domaines ET les noms d'hôtes.
Définissez uniquement l'un des ensembles suivants.
config setprop letsencrypt configure domains
config setprop letsencrypt configure hosts
config setprop letsencrypt configure all
Pour utiliser des hôtes ou des domaines activés individuellement, laissez le paramètre par défaut « none ».
config setprop letsencrypt configure none
Avec la configuration du système décrite ci-dessus :
- la définition de « domains » obtiendra un certificat couvrant domain1.com et domain2.com, mais pas www.domain1.com, etc. ;
- le réglage sur « hosts » obtiendra un certificat couvrant www.domain1 .com, mail.domain1.com, ftp.domain1.com, etc., mais pas domain1.com ou domain2.com ;
- le réglage de cette propriété sur « all » inclura tous les noms de domaine et les noms d'hôtes dans le certificat. Voyez cette NOTE avant de régler ce paramètre sur « all ».
Activer le mode test
Après avoir installé et configuré tous les domaines et hôtes, l'étape suivante consiste à utiliser le mode test, qui est activé par défaut. Cela procurera des certificats du serveur intermédiaire. Les limites renouvellement exposées dans l'introduction ne s'appliqueront pas, donc toute erreur ou tout autre problème ne vous empêcheront pas d'obtenir votre certificat de production. Activer le mode test en utilisant cette commande :
config setprop letsencrypt status test signal-event console-save
Vous pouvez maintenant exécuter « dehydrated » pour la première fois et vous assurer qu'il est capable de se connecter aux serveurs de Let's Encrypt, de valider les noms d'hôtes que vous demandez et d'émettre des certificats. Pour ce faire, exécutez :
dehydrated -c
S'il s'imprime uniquement "# INFO: Using main config file /etc/dehydrated/config"" et vous renvoie à l'invite du shell, voir Bugzilla:10300.
Si cela fonctionne sans erreur, essayez de vous connecter à la page du gestionnaire de votre serveur. Vous devriez voir une erreur indiquant que le certificat de sécurité n'a pas été émis par une autorité de certification approuvée. C'est parfaitement normal. Cependant, il devrait y avoir un certificat, il devrait inclure tous les noms d'hôte que vous vouliez inclure, et il devrait être valide pour les quatre-vingt-dix prochains jours. Si cela a réussi, passez à la production.
Activer le mode production
Une fois que vous avez testé avec succès votre installation, réglez-la en mode production en utilisant les commandes suivantes :
config setprop letsencrypt status enabled signal-event console-save
Procurez-vous ensuite un nouveau certificat à partir du serveur de production Let's Encrypt :
dehydrated -c -x
L'indicateur -x ici est nécessaire pour forcer «dehydrated» à obtenir un nouveau certificat, même si vous avez un certificat existant qui est valide pendant plus de 30 jours.
Si cette commande a réussi, félicitations ! Vous avez réussi à obtenir un certificat TLS de confiance et valide, qui se renouvellera automatiquement perpétuellement.
Une fois que vous avez obtenu votre certificat et configuré votre serveur, testez votre serveur avec un outil comme SSLLabs.com pour vous assurer qu'il fonctionne correctement.
Archiver les vieux certificats
Une nouvelle fonction vous permet de nettoyer les vieux certificats et de les archiver.
dehydrated --cleanup (-gc)
Paramètres de configuration
| Clé | propriété | par défaut | valeurs | |
|---|---|---|---|---|
| letsencrypt | ACCEPT_TERMS | empty, yes | configurer à « yes » pour accepter les termes du service ; si le paramètre est laissé à « empty », la contribution ne fonctionnera pas. | |
| API | 2 | 1, 2 | obsolète, sera toujours v2, car v1 est obsolète depuis juin 2021. | |
| configure | none | none, all, domains, hosts | cela changera le comportement par défaut sur les domaines ou les hôtes non explicites avec « letsencryptSSLcert enabled ». Par défaut, ne sera pas utilisé : si « hosts » est défini, demandera un certificat pour tous les hôtes ; si « domains » est définis, demandera un certificat pour tous les domaines ; si « all » est défini, demandera un certificat à la fois pour tous les domaines et pour tous les hôtes. Dans toutes les situations, il demandera un certificat pour les domaines/hôtes où « letsencryptSSLcert enabled » est défini et rien si « letsencryptSSLcert disabled » est défini. | |
| entrer l'adresse courriel pour créer le compte et recevoir des mises à jour de Let's Encrypt. | ||||
| hookScript | disabled | enabled, disabled | déclenchera un script hook avancé s'il est activé, même s'il est désactivé, la partie signal-event ssl-update pour propager le certificat s'exécutera. | |
| hostOverride | disabled | yes, disabled | désactivé par défaut. S'il est désactivé, il ne demandera que le certificat pour les hôtes (si sélectionné selon la configuration et avec « letsencryptSSLcert enabled ») pour les hôtes avec type=Self. Si défini sur « yes », inclura tous les hôtes répertoriés, qu'ils soient distants ou locaux. | |
| keysize | 4096 | base 2 number | longueur de la clé privée de votre certificat si vous ne voulez pas la valeur par défaut de 4096 bits. Ce ne sera pas nécessaire dans la majorité des cas mais, si c'est désiré, utilisez cette commande pour le faire. | |
| status | test | enabled, disabled, test | par défaut, le statut est désactivé. Dans un premier temps, configurez sur « test » pour se connecter au serveur de test de Let's Encrypt afin de vérifier si votre serveur est bien configuré. Après avoir vérifié que tout va bien, vous pouvez configurer le statut sur « enabled ». |
Dépannage
Voir cette page (en anglais).
Fonctions avancées
Voir cette page.
Désinstallation
yum remove smeserver-letsencrypt letsencrypt
Bogues
Veuillez ouvrir des bogues dans la section SME-Contribs dans bugzilla et sélectionner le composant smeserver-letsencrypt ou utiliser ce lien.
| ID | Product | Version | Status | Summary (10 tasks) ⇒ |
|---|---|---|---|---|
| 12325 | SME Contribs | 10.0 | CONFIRMED | renewal fails after domain deleted from manager. |
| 11796 | SME Contribs | Futur | CONFIRMED | Is the dns-01 Challenge Supported or is it in planing? |
| 11442 | SME Contribs | 10alpha | CONFIRMED | multiple fragments related to some other bugs |
| 10920 | SME Contribs | 10alpha | CONFIRMED | move .well-known/acme-challenge out of the Primary ibay |
| 10836 | SME Contribs | 9.2 | CONFIRMED | force migration from acme-v1 to acme-v2 |
| 10818 | SME Contribs | 9.2 | CONFIRMED | template does not respect domain-deleted |
| 10656 | SME Contribs | 9.2 | CONFIRMED | No letsencrypt certificate for Internet enable password protected Ibay |
| 10483 | SME Contribs | 9.2 | CONFIRMED | renewal fails with ibay using password |
| 10462 | SME Contribs | Futur | CONFIRMED | NFR: implement per certificate / domain |
| 10280 | SME Contribs | 9.2 | CONFIRMED | add test for domain and host to disable the one at least defined in publicly available dns |
Journal des modifications
Seules versions publiées dans le dépôt smecontrib sont rapportées ici.
- Re-build and link to latest devtools [SME: 11997]
- add to core backup [SME: 12011]
- Add action to check if dehydrated.timer is running and stop it if so [SME: 11996]
- Stop systemd timer runnning as well as cron [SME: 11990]
- use a general Alias for acme path and a proxypass [SME: 10637]