3,054
edits
Changes
Jump to navigation
Jump to search
mLine 1:
Line 1: + + + + + + + + + + + + + + + + + + + + + + + + + − ==Introduction== Line 27:
Line 51: − − === Version === − {{#smeversion:smeserver-letsencrypt }} − <br> Line 57:
Line 77: − + + + + + + + + + + − + + − + + + + − ===Mises à jour=== − config setprop letsencrypt ACCEPT_TERMS yes+ − signal-event console-save Line 75:
Line 106: − + − + − Il est important d'effectuer l'usuel : − signal-event post-upgrade; signal-event reboot − − à défaut : + + − ===Configuration===+ + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + Line 97:
Line 163: − : www.domaine1.com+ − : mail.domaine1.com+ − : ftp.domaine1.com+ − : www.domaine2.com+ − : mail.domaine2.com+ Line 135:
Line 201: − + − − ====Autres paramètres de configuration ==== − Aucun autre paramètre n'est obligatoire. Cependant, il est recommandé de configurer une adresse courriel. S'il y a un problème avec le renouvellement de votre certificat, et qu'il arrive à expiration, les serveurs de Let's Encrypt vous en informeront. Faites-le avec cette commande : − config setprop letsencrypt email admin@domaine1.com − − Le domaine de messagerie spécifié ici n'a pas besoin de correspondre à l'un des domaines pour lesquels vous allez demander un certificat. − − Vous pouvez également définir la longueur de la clé privée de votre certificat, si vous ne voulez pas la valeur par défaut de '''4096''' bits. Cela ne devrait pas être nécessaire dans la plupart des cas, mais si vous le souhaitez, utilisez cette commande pour le faire : − − config setprop letsencrypt keysize NOMBRE − − ===Accepter les conditions de Let's Encrypt === − Lisez d'abord, s.v.p., les termes des conditions d'utilisation de Let's Encrypt [[https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf]] − puis exécutez : − config setprop letsencrypt ACCEPT_TERMS yes − {{Note box|type=Note : | la création d'un nouveau certificat nécessite que l'API soit définie sur V2, voir l'avertissement ci-dessus.}} − − ===V2 API=== − Avec la dernière version de letsencrypt / deshydrated, l'API V2 est nécessaire pour créer de nouveaux certificats. La version 1 est déconseillée pour la création de nouveaux certificats, mais elle reste valable pour les certificats existants créés avec elle. − − La clé s'appelle API. La valeur par défaut est « 1 » si elle n'est pas définie. Les options sont « 1 », « 2 », « auto ». − − Pour mettre à jour les certificats V1 actuels, laissez la valeur par défaut ou définissez-la sur « 1 », « auto ». − − # config show letsencrypt − letsencrypt=service − ACCEPT_TERMS=yes − configure=none − email=####@#####.### − hookScript=disabled − status=enabled − − # config setprop letsencrypt API 1 − # signal-event console-save − − # config show letsencrypt − letsencrypt=service − ACCEPT_TERMS=yes − API=1 − configure=none − email=####@#####.### − hookScript=disabled − status=enabled − − Pour créer un nouveau certificat ou mettre à jour une configuration V2 à 2 : − − # config setprop letsencrypt API 2 − # signal-event console-save − − # config show letsencrypt − letsencrypt=service − ACCEPT_TERMS=yes − API=2 − configure=none − email=####@#####.### − hookScript=disabled − status=enabled − − ===Activer le mode test === − L'étape suivante consiste à activer le mode test. Cela va obtenir des certificats du serveur d'étape. Les limites de quantité présentées dans l'introduction ne s'appliqueront pas, donc toute erreur ou autre problème ne vous empêchera pas d'obtenir votre certificat de production. Activer le mode test en utilisant cette commande : + + + Line 206:
Line 215: − + − + Line 221:
Line 230: − + − + + Line 230:
Line 240: − + − Pour le test ('' 'ajuster les domaines et les hôtes' '') :+ − config setprop letsencrypt ACCEPT_TERMS yes status test API 2+ − #pour chacun de vos domaines où vous voulez SSL, faire ce qui suit :+ − db domains setprop '''domaine1.com''' letsencryptSSLcert enabled+ − #pour chacun de vos hôtes (sous-domaines) où vous voulez SSL, faire ce qui suit :+ − db hosts setprop '''www.domaine1.com''' letsencryptSSLcert enabled+ − signal-event console-save+ − dehydrated -c+ − + − Vérifiez que les certificats sont disponibles (votre navigateur émettra toujours une erreur, mais vous pouvez explorer le contenu du certificat pour voir que l'autorité de certification de test Let's Encrypt a été utilisée pour signer votre certificat SSL et que tous vos domaines et hôtes sont dans le propriété « Certificate Subject Alt Name ».+ − + − Pour la production ('' 'ajustez votre adresse courriel' '') :+ − + − config setprop letsencrypt status enabled email '''admin@domaine1.com'''+ − signal-event console-save+ − dehydrated -c -x+ − + − + − {{warning box| type=Attention :| les éléments suivants ne doivent pas être exécutés si vous avez installé le paquet de la contribution smeserver-letsencrypt car cela est déjà géré par la contribution.}}+ − Comme exposé ci-dessus, «dehydrated» est un client ACME léger qui est implémenté en tant que script BASH. Il a très peu de dépendances, et il est mieux adapté pour la «façon de faire de KOOZALI» que le client officiel de certbot. Si vous préférez le configurer manuellement, plutôt que d'installer la contribution décrite ci-dessus, vous pouvez le faire manuellement ou à partir d'une copie de la dernière version en utilisant git.+ − + − === Installation du paquet « dehydrated » à partir du dépôt smecontrib ===+ − Le script déshydraté a été importé dans le dépôt contribs et peut être installé comme suit :+ − + − yum --enablerepo=smecontribs install dehydrated+ − + − Le script doit être configuré comme décrit ci-dessous.+ − + − ===Installation de la dernière version de git===+ − + − Si vous avez besoin ou si vous voulez la toute dernière version du script, vous pouvez l'installer manuellement comme suit :+ − + − Commencez en installant git :+ − yum install git+ − + − Téléchargez ensuite le client « Dehydrated » :+ − cd /etc+ − git clone https://github.com/lukas2511/dehydrated+ − mv dehydrated/dehydrated /usr/local/bin/+ − + − ===Configuration manuelle de « Dehydrated »===+ − + − Vous devrez créer deux fichiers de configuration pour « Dehydrated ».+ − cd /etc/dehydrated+ − mkdir -p /home/e-smith/files/ibays/Primary/html/.well-known/acme-challenge+ − nano -w domains.txt+ − + − Dans ce fichier, vous ajouterez chaque nom d'hôte que vous voulez que votre certificat couvre, tous sur une seule ligne. Cela ressemblera à ceci :+ − domain1.com www.domain1.com mail.domain1.com domain2.net www.domain2.net domain3.org ftp.domain3.org − Ctrl-X pour quitter, Y pour sauvegarder. − − En second, vous devrez créer le fichier de configuration '''config''' : − nano -w config − − Cela devrait ressembler à : − #!/bin/bash − # config − # CA="https://acme-staging.api.letsencrypt.org/directory" − WELLKNOWN="/home/e-smith/files/ibays/Primary/html/.well-known/acme-challenge" − HOOK="/usr/local/bin/dehydrated-hook" − # E-mail to use during the registration (default: <unset>) − CONTACT_EMAIL="admin@yourdomain.com" − − Ctrl-X pour quitter, Y pour sauvegarder. − − Pour les phases de test, il est recommandé de dé-commenter la troisième ligne (celle qui commence par « CA="... »). Durant les tests, aucunes demandes de certificats ne seront effectuées, mais cela n'affectera pas non plus votre nombre limite. Une fois que votre configuration sera réglée, vous pourrez dé-commenter cette ligne et relancer « dehydrated ». − − Vous devrez créer un script « hook » personnalisé pour configurer correctement la base de données de configuration et déclencher le rechargement de vos services système lors de l'émission ou du renouvellement d'un certificat. − − nano /usr/local/bin/dehydrated-hook − − Son contenu devrait ressembler à : − #!/bin/bash − − if [ $1 = "deploy_cert" ]; then − KEY=$3 − CERT=$4 − CHAIN=$6 − /sbin/e-smith/db configuration setprop modSSL key $KEY − /sbin/e-smith/db configuration setprop modSSL crt $CERT − /sbin/e-smith/db configuration setprop modSSL CertificateChainFile $CHAIN − /sbin/e-smith/signal-event ssl-update − fi − − Ctrl-X pour quitter, Y pour sauvegarder. Ensuite, rendez-le exécutable : − chmod +x /usr/local/bin/dehydrated-hook − − Vous devrez aussi créer un fragment personnalisé de modèle pour Apache : − mkdir -p /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf − nano -w /etc/e-smith/templates-custom/etc/httpd/conf/httpd.conf/VirtualHosts40ACME − − Les contenus de ce fichier devrait ressembler à : − # Alias for letsencrypt − Alias /.well-known/acme-challenge /home/e-smith/files/ibays/Primary/html/.well-known/acme-challenge − A nouveau, Ctrl-X pour quitter, Y pour sauvegarder. − − Développez le modèle et redémarrez Apache : − expand-template /etc/httpd/conf/httpd.conf − service httpd-e-smith restart − − Maintenant, vous êtes prêt(e) à lancer « dehydrated » et à obtenir votre certificat. − dehydrated -c − − Le script s'exécutera pendant un moment et devrait indiquer le succès. Si c'est le cas, regardez dans /etc/dehydrated/certs/VOTRE_DOMAINE et voyez si vous y avez vos fichiers. Vous devriez voir un certain nombre de fichiers .pem, au moins un fichier .csr, et cinq liens symboliques (chain.pem, cert.csr, cert.pem, fullchain.pem et privkey.pem). Si c'est le cas, félicitations ! Vous avez réussi à obtenir votre certificat. Le script «hook» doit également avoir configuré votre serveur pour utiliser le nouveau certificat. Pour être sûr, exécutez : − config show modSSL − et assurez-vous qu'il y a des valeurs définies pour crt, key, et CertificateChainFile. − − Si « dehydrated » fonctionne avec succès en mode test mode, re-commentez la troisième ligne « CA=... » dans /etc/dehydrated/config et exécutez : − dehydrated -c -x − − pour obtenir en confiance un certificat de confiance. − − ===Renouvellement=== − Une fois exécuté, le script «dehydrated» vérifiera votre certificat existant pour voir combien de temps il est valide. Si sa durée de vie est inférieure à 30 jours (par défaut, cela peut être modifié en réglant RENEW_DAYS dans config sur autre chose que 30), le script renouvellera vos certificats. S'il reste plus de 30 jours, le script se terminera sans autre action. Tout ce qui est nécessaire est d'exécuter quotidiennement « dehydrated » : − − nano -w /etc/cron.daily/call-dehydrated − − Entrez ce qui suit dans ce fichier : − #!/bin/bash − /usr/bin/dehydrated -c − Ctrl-X pour quitter, Y pour sauvegarder. Ensuite, rendez-le exécutable : − chmod +x /etc/cron.daily/call-dehydrated − − {{warning box| type=Attention :| fin de l'installation et de la configuration manuelles de « dehydrated » sans la contribution smeserver-letsencrypt.}} − − ==Imposer le SSL == − Que vous ayez utilisé la contribution ou que vous ayez configuré « dehydrated » manuellement, vous souhaiterez probablement configurer votre serveur pour forcer les connexions Web sécurisées. Pour les baies d'informations (i-bays), vous pouvez le faire en utilisant la page du gestionnaire du serveur ou en utilisant une commande shell. Pour la baie principale (Primary), vous devez utiliser la commande shell : − − db accounts setprop {accountname} SSL enabled − ou − db accounts setprop Primary SSL enabled − − ==Sauvegarde == − Votre certificat, votre clé privée et d'autres informations importantes sont stockés dans /etc/dehydrated, ce qui n'est pas inclus dans les routines de sauvegarde normale du serveur KOOZALI SME. Assurez-vous d'ajouter ce répertoire à vos sauvegardes. Voir, par exemple, [[Backup with dar#Adding_Files_and_Directories|Sauvegardes avec dar]] si vous utilisez la fonction de sauvegarde de poste de travail. Si vous utilisez Affa pour la sauvegarde, ajoutez : − − Include=/etc/dehydrated − − au fichier de configuration d'Affa. − − == Troubleshooting == − ===Certificate Errors=== − Errors in the certificate files may prevent Apache and some other services from starting. If you previously had custom settings for modSSL, revert those with: − config setprop modSSL crt (old value) − config setprop modSSL key (old value) − config setprop modSSL CertificateChainFile (old value--if this property was empty, delete it using the command line below) − − If you did not have custom settings for modSSL, remove your changes with: − config delprop modSSL crt − config delprop modSSL key − config delprop modSSL CertificateChainFile − − Once you've made these changes, do: − signal-event post-upgrade − signal-event reboot − − Also see − − https://wiki.contribs.org/Useful_Commands#How_to_simply_recreate_the_certificate_for_SME_Server − − rm /home/e-smith/ssl.{crt,key,pem}/* − config delprop modSSL CommonName − config delprop modSSL crt − config delprop modSSL key − signal-event post-upgrade − signal-event reboot − − ===Authorization Errors=== − The first thing is to check all your domains can resolve − − http://my.domain/.well-known/acme-challenge − − Check that the following files are correctly generated − − /etc/dehydrated/config − /etc/dehydrated/domains.txt − − Set letsencrypt back to test and remove any generated keys − − db configuration setprop letsencrypt status test − − rm /etc/dehydrated/certs/* -rf − rm /etc/dehydrated/accounts/* -rf − − Then run letsencrypt again − − dehydrated -c − − To restore the original certificates: − − config delprop modSSL CertificateChainFile − config delprop modSSL crt − config delprop modSSL key − − signal-event console-save − − ===Errors=== − − − ====No registration exists matching provided key==== − − − If you see the following: − − {"type":"urn:acme:error:unauthorized","detail":"No registration exists matching provided key","status":403} − − https://github.com/lukas2511/letsencrypt.sh/issues/2 − − See above for removing private keys and regenerating − − ====rateLimited, Too many currently pending Authorizations==== − − If you see something like this you may have hit the rate limit: − − {"type":"urn:acme:error:rateLimited","detail":"Error creating new authz :: Too many currently pending authorizations.","status":429} − − https://github.com/lukas2511/letsencrypt.sh/blob/master/docs/staging.md − − https://letsencrypt.org/docs/rate-limits/ − − ====Some challenges complete successfully but some hostnames fail==== − − If you see some of your challenges returned without error but some fail, you possibly do not have Public DNS A or MX records for all the host names that you are adding to your certificate. − − Using the command: − config setprop letsencrypt configure all − − Is likely to cause this error. When a domain is added to an SME server, several host names are created automatically. these include ftp.your-domain.com, wpad.your-domain.com, proxy.your-domain.com, mail.your-domain.com, www.your-domain.com. Most of us do not create public DNS records for all these host names. When letsencrypt issues a challenge for a list of host names and '''ONE''' does not resolve, the challenge will fail and the certificate will not generate at all. − − To resolve this, issue the following command: − config setprop letsencrypt configure none − − Then follow up with the commands to enable letsencrypt for each PUBLIC resolvable domain and hostname: − db domains setprop domain1.com letsencryptSSLcert enabled − and for each hostname: − db hosts setprop www.domain1.com letsencryptSSLcert enabled − − db hosts setprop mail.domain1.com letsencryptSSLcert enabled − until all the public facing hostnames are enabled − followed by: − signal-event console-save − − Thanks to MSmith for the following forum thread. − − https://forums.contribs.org/index.php/topic,53052.0.html − − ====Challenge fails with unauthorized 403 error==== − − If your challenge returns something like the following: − ERROR: Challenge is invalid! (returned: invalid) (result: { − "type": "http-01", − "status": "invalid", − "error": { − "type": "urn:acme:error:unauthorized", − "detail": "Invalid response from http://www.your-domain.com/.well-known/acme-challenge/<redacted text> − "status": 403 − and your ''httpd error_log'' on your server shows something like this: − (13)Permission denied: access to /.well-known/acme-challenge/<redacted> denied − (13)Permission denied: access to /.well-known/acme-challenge/<redacted> denied − (13)Permission denied: access to /.well-known/acme-challenge/<redacted> denied − − You need to check the ownership and rights on ''/home/e-smith/files/ibays/Primary'' and on ''/home/e-smith/files/ibays/Primary/html''. The contrib creates a hidden working directory at ''/home/e-smith/files/ibays/Primary/html/.well-known'' and inside that directory a second directory with the following path ''/home/e-smith/files/ibays/Primary/html/.well-known/acme-challenge''. The script creates the two new directories with the correct ownerships and rights, however, if the ownership and rights on the ibay and the html directory do not allow the script to access the new location, the challenge will fail with ''access denied'' − − use the following to check the rights: − cd /home/e-smith/files/ibays − then − ls -l − on my test server with only the Primary ibay I get the following (you will probably show a bunch more ibays on your server but we are only concerned with Primary): − total 4 − drwxr-xr-x 5 root root 4096 Jul 25 2016 Primary − − If this is not what you see, you need to correct it. − − − − From within ''/home/e-smith/files/ibays/'' issue the following: − chown root:root Primary − If the rights are not correct, issue: − chmod 0755 Primary − − Next check the html directory. − cd /home/e-smith/files/ibays/Primary − then − ls -l − on my test server I have the following − [root@backupserver Primary]# ls -l − total 12 − drwxr-s--- 2 admin shared 4096 Jul 25 2016 cgi-bin − drwxr-s--- 2 admin shared 4096 Jul 25 2016 files − '''drwxr-s--- 3 admin shared 4096 Jun 11 08:06 html''' − − If this is not what you see, − − '''FIRST READ ABOVE WARNING''' − − then adjust as follows − chown admin:shared html − If the rights are not correct, issue: − chmod 2750 html − − rerun − dehydrated -c − − and your challenges should complete. − − https://forums.contribs.org/index.php/topic,53147.0.html − − ==Sujets avancés== − ===Obtention de certificats pour d'autres serveurs=== − Le client « dehydrated » peut être utilisé pour obtenir des certificats pour d'autres serveurs de votre réseau, si les noms d'hôte sont résolus (depuis l'extérieur de votre réseau) vers votre serveur SME. Voici comment procéder en utilisant la contribution smeserver-letsencrypt. − − ====Hôtes et domaines==== − {{Note box|type=Note : | pour autant que je (ReetP) sache, cette section n'est pas nécessaire. Vous devriez simplement être en mesure de définir un hôte avec « HostType local » et une adresse InternalIP comme activation de letsencryptSSLcert, puis régénérer domains.txt.}} − − Vous devrez créer deux fragments de modèle : un pour ajouter votre nom d'hôte à /etc/dehydrated/domains.txt, et le second pour gérer le certificat une fois qu'il est généré. Pour créer le premier, faites : − − mkdir -p /etc/e-smith/templates-custom/etc/dehydrated/domains.txt − nano -w /etc/e-smith/templates-custom/etc/dehydrated/domains.txt/15Hostname − − Vous pouvez remplacer «Hostname» dans «15Hostname» par un élément descriptif de l'hôte pour lequel vous voulez obtenir un certificat. Si vous souhaitez plusieurs certificats supplémentaires, créez des fragments distincts pour chacun. Dans le fichier, entrez simplement le nom de domaine complet du système : − − nom_d_hote.domaine − − Puis Ctrl-X pour quitter, Y pour sauvegarder. − − ====Déploiement du script d'accrochage==== − − Le deuxième fragment de modèle sera une partie du script d'accrochage, ainsi le client « dehydrated » sait quoi faire avec ce certificat. Cela doit être présent, sinon « dehydrated » configurera votre serveur SME pour qu'il utilise ce certificat plutôt que le certificat pour le serveur SME. − − mkdir -p /etc/e-smith/templates-custom/usr/bin/hook-script.sh/ − nano -w 05deploy_cert_hostname − − Comme ci-dessus, remplacez « hostname » par quelque chose qui décrit l'hôte auquel ce script s'appliquera. La partie numérique peut être modifiée, mais DOIT être inférieure à 10. − − Au minimum, ce fragment devra reconnaître qu'il est appelé pour un certificat autre que le certificat du serveur principal et devra s'arrêter afin d'empêcher les parties ultérieures du script d'installer ce certificat en tant que certificat du serveur principal. La forme minimale de ce fragment serait : − − { − use strict; − use warnings; − use esmith::ConfigDB; − − my $configDB = esmith::ConfigDB->open_ro or die("can't open Config DB"); − − my $letsencryptStatus = $configDB->get_prop( 'letsencrypt', 'status' ) || 'disabled'; − − if ( $letsencryptStatus ne 'disabled' ) { − − $OUT .=<<'_EOF'; − if [ $1 = "deploy_cert" ] && [ $2 = "hostname.domain.tld" ]; then − echo "$2 certificate renewed" | mail -s "Certificate renewal" admin@yourdomain.com − exit 0 − fi − _EOF − − } − } − − Selon les caractéristiques de l'autre système, ce script peut cependant installer le certificat sur ce système. Le fragment suivant copiera les fichiers du certificat sur un système Linux distant exécutant Apache pour le serveur Web et rechargera Apache pour qu'il commence à utiliser le nouveau certificat : − {+ − use strict;+ − use warnings; − use esmith::ConfigDB; − − my $configDB = esmith::ConfigDB->open_ro or die("can't open Config DB"); − − my $letsencryptStatus = $configDB->get_prop( 'letsencrypt', 'status' ) || 'disabled'; − − if ( $letsencryptStatus ne 'disabled' ) { − − $OUT .=<<'_EOF'; − if [ $1 = "deploy_cert" ] && [ $2 = "hostname.domain.tld" ]; then − KEY=$3 − CERT=$4 − CHAIN=$6 − scp $CERT root@hostname:/etc/pki/tls/certs/pbx.familybrown.org.crt − scp $KEY root@hostname:/etc/pki/tls/private/pbx.familybrown.org.key − scp $CHAIN root@hostname:/etc/pki/tls/certs/server-chain.crt − ssh root@pbx "/sbin/service httpd reload" − echo "$2 certificate renewed" | mail -s "Certificate renewal" admin@domain.tld − exit 0 − fi − _EOF − − } − } − Le fragment suivant installe le nouveau certificat sur un hôte Proxmox VE :+ + − {+ − use strict;+ − use warnings; − use esmith::ConfigDB; − − my $configDB = esmith::ConfigDB->open_ro or die("can't open Config DB"); − − my $letsencryptStatus = $configDB->get_prop( 'letsencrypt', 'status' ) || 'disabled'; − − if ( $letsencryptStatus ne 'disabled' ) { − − $OUT .=<<'_EOF'; − if [ $1 = "deploy_cert" ] && [ $2 = "pve.domain.tld" ]; then − KEY=$3 − CHAIN=$5 − scp $KEY root@pve:/etc/pve/nodes/pve/pveproxy-ssl.key − scp $CHAIN root@pve:/etc/pve/nodes/pve/pveproxy-ssl.pem − ssh root@pve "systemctl restart pveproxy" − echo "$2 certificate renewed" | mail -s "Certificate renewal" admin@domain.tld − exit 0 − fi − _EOF − − } − } − − Une fois que vous avez créé les fragments de modèle, développez les modèles et exécutez « dehydrated » pour générer les certificats : − − signal-event console-save − dehydrated -c − − Ces certificats seront automatiquement renouvelés, tout comme le certificat du serveur principal. − − − Comme indiqué ci-dessus dans la section prérequis, votre serveur SME doit être normalement accessible depuis Internet afin que les serveurs de Let's Encrypt puissent valider que vous le contrôlez. Toutefois, si votre serveur SME n'est pas accessible depuis Internet, la contribution smeserver-letsencrypt fournit une méthode permettant de valider le contrôle de domaine. Pour utiliser cette méthode, les conditions suivantes doivent être remplies : − * le nom d'hôte de votre serveur SME interne (exemple: interne.mon-domaine.com) résout, sur l'Internet public, via une adresse IP valide ; − * l'hôte auquel interne.mon-domaine.com résout (exemple: passerelle.mon-domaine.com) dispose d'un serveur Web actif sur le port 80 ; − * l'utilisateur root de interne.mon-domaine.com peut se connecter à passerelle.mon-domaine.com via SSH sans entrer de mot de passe (c'est-à-dire que vous avez configuré l'authentification par clé publique SSH). − − Cette méthode utilise un script simple inclus dans la contribution smeserver-letsencrypt, qui requiert que quatre entrées d'une base de données soient définies : − − config setprop letsencrypt hookScript enabled − config setprop letsencrypt host '''passerelle.mon-domaine.com''' − config setprop letsencrypt user '''root''' − config setprop letsencrypt path '''/home/e-smith/files/ibays/Primary/html/.well-known/acme-challenge''' − signal-event console-save − Les parties en gras ci-dessus doivent être modifiées pour correspondre à votre situation ; la variable « path » devrait être l'emplacement du système de fichiers que l'hôte passerelle.mon-domaine.com mettra à disposition, comme /.well-known/acme-challenge/. Lorsque « dehydrated » crée le fichier de challenge, il le transfère via scp vers user@host: path/, puis autorise le serveur Let's Encrypt à valider. Une fois la validation effectuée, le script supprime le fichier de challenge de user@host:path/. Line 674:
Line 306: − + − Only released version in smecontrib are listed here.+
→Hôtes et domaines du certificat
{{Languages|Letsencrypt}}
{{Languages|Letsencrypt}}
{{Level|Medium}}
{{Level|Medium}}
<!-- here we define the contrib name variable -->
<!-- we get the page title, remove suffix for translated version; if needed you can define there with the value you want-->
{{#vardefine:contribname| {{lc: {{#titleparts: {{BASEPAGENAME}} |1}} }} }}
{{#vardefine:smecontribname| smeserver-{{lc: {{#titleparts: {{BASEPAGENAME}} |1}} }} }}
<!-- we define the language -->
{{#vardefine:lang| {{lc: {{#titleparts: {{PAGENAME}} | | -1}} }} |en }}
{{Infobox contribs
|name={{#var:contribname}}
|image={{#var:contribname}}.jpg
|description_image= {{#var:contribname}} logo
|maintainer= John Crisp
|licence= MIT license
|url= https://github.com/dehydrated-io/dehydrated
|category= certificates
|tags=dehydrated,letsencrypt,dns,http,ssl
}}
==Mainteneur==
John Crisp
== Version ==
{{#set: Version=Contrib10}}
{{#smeversion:smeserver-letsencrypt }}
<br>
==Description==
{{warning box|type=Attention !| Le protocole original utilisé par Let’s Encrypt pour l’émission et la gestion des certificats est appelé ACMEv1. En mars 2018, Letsencrypt a introduit le support pour ACMEv2, une version plus récente du protocole qui correspond à ce qui a été finalisé aujourd'hui sous la RFC 8555 328. Ils encouragent les abonnés à passer au protocole ACMEv2.
{{warning box|type=Attention !| Le protocole original utilisé par Let’s Encrypt pour l’émission et la gestion des certificats est appelé ACMEv1. En mars 2018, Letsencrypt a introduit le support pour ACMEv2, une version plus récente du protocole qui correspond à ce qui a été finalisé aujourd'hui sous la RFC 8555 328. Ils encouragent les abonnés à passer au protocole ACMEv2.
Plusieurs clients sont disponibles pour les services Letsencrypt. Le client « certbot » officiel de letsencrypt.org est assez complet mais possède un certain nombre de dépendances qu'il est nécessaire d'installer. Il nécessite aussi une version plus récente de Python que celle fournie avec une installation de serveur KOOZALI SME standard. En raison de cette complexité et du manque de compatibilité avec SME 8.X, ce document décrit l'installation et l'utilisation de ''[https://github.com/lukas2511/dehydrated dehydrated]'', un client alternatif mis en œuvre en tant que script shell BASH.
Plusieurs clients sont disponibles pour les services Letsencrypt. Le client « certbot » officiel de letsencrypt.org est assez complet mais possède un certain nombre de dépendances qu'il est nécessaire d'installer. Il nécessite aussi une version plus récente de Python que celle fournie avec une installation de serveur KOOZALI SME standard. En raison de cette complexité et du manque de compatibilité avec SME 8.X, ce document décrit l'installation et l'utilisation de ''[https://github.com/lukas2511/dehydrated dehydrated]'', un client alternatif mis en œuvre en tant que script shell BASH.
==Prérequis==
==Prérequis==
config show modSSL > "/root/db_configuration_modSSL_backup_$(date +%Y%m%d_%H%M%S)"
config show modSSL > "/root/db_configuration_modSSL_backup_$(date +%Y%m%d_%H%M%S)"
==Installation de la contribution de Dehydrated==
==Installation de la contribution de Dehydrated letsencrypt==
John Crisp a préparé le fichier pour le script de Dehydrated, en créant les fichiers de configuration appropriés et en l'intégrant au système de modèles SME. C'est la manière la plus simple d'installer Dehydrated sur votre serveur KOOZALI SME.
John Crisp a préparé le fichier pour le script de Dehydrated, en créant les fichiers de configuration appropriés et en l'intégrant au système de modèles SME. C'est la manière la plus simple d'installer Dehydrated sur votre serveur KOOZALI SME.
<tabs container style="display: inline-block;"><tab name="Pour SME 10">
yum install smeserver-letsencrypt
Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ».
Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut.
db yum_repositories setprop smeaddons status enabled
signal-event yum-modify
</tab><tab name="Pour SME 9">
===Installation===
===Installation===
yum install smeserver-letsencrypt --enablerepo=smecontribs
yum install smeserver-letsencrypt
signal-event console-save
Vous devez ensuite configurer les domaines et les hôtes pour lesquels vous souhaitez demander un certificat. Voir plus bas, la section « Configuration ».
Vous aurez ensuite besoin de configurer les domaines et les hôtes pour lesquels vous voulez demander un certificat. Voir la section suivante « Configuration ».
Si votre dépôt « smeaddons » a été désactivé, ajoutez « --enablerepo=smeaddons » et réactivez-le, comme il devrait l'être par défaut.
db yum_repositories setprop smeaddons status enabled
signal-event yum-modify
Votre serveur disposera de mises à jour disponibles dans le dépôt smecontribs. Si vous avez déjà installé smeserver-letsencrypt à partir du dépôt « reetp », vous devez vous assurer que vous avez défini la propriété de configuration de « ACCEPT_TERMS » :
Votre serveur disposera de mises à jour disponibles dans le dépôt smecontribs. Si vous avez déjà installé smeserver-letsencrypt à partir du dépôt « reetp », vous devez vous assurer que vous avez défini la propriété de configuration de « ACCEPT_TERMS » :
===Ré-actualisation===
===Ré-actualisation===
Une mise à jour complète peut être effectuée comme suit :
Une mise à jour complète peut être effectuée comme suit :
yum update smeserver-letsencrypt dehydrated --enablerepo=smecontribs
yum update smeserver-letsencrypt dehydrated
config setprop letsencrypt ACCEPT_TERMS yes
signal-event console-save
signal-event console-save
Ne pas le faire pourrait laisser la contribution hors service et vos certificats ne seraient pas renouvelés.
Ne pas le faire pourrait laisser la contribution hors service et vos certificats ne seraient pas renouvelés.
</tab>
</tabs>
==Configuration==
Il y a plusieurs configurations d'entrées de la base de données qui doivent être faites afin de mettre en place cette contribution. La plupart d'entre elles indiquent aux scripts quels noms d'hôte doivent faire partie de votre certificat.
Il y a plusieurs configurations d'entrées de la base de données qui doivent être faites afin de mettre en place cette contribution. La plupart d'entre elles indiquent aux scripts quels noms d'hôte doivent faire partie de votre certificat.
===Exemples de démarrage rapide===
Pour le test ('''régler les domaines et les hôtes''') :
<tabs container style="display: inline-block;"><tab name="Pour SME 10">
config setprop letsencrypt ACCEPT_TERMS yes status test
# tâche très rapide pour activer le domaine principal :
db domains setprop $(config get DomainName) letsencryptSSLcert enabled
#pour chacun de vos domaines pour lesquels vous voulez le SSL, faites :
db domains setprop '''domain1.com''' letsencryptSSLcert enabled
#pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites :
db hosts setprop '''www.domain1.com''' letsencryptSSLcert enabled
signal-event smeserver-letsencrypt-update
dehydrated -c
</tab><tab name="Pour SME 9">
config setprop letsencrypt ACCEPT_TERMS yes status test API 2
#pour chacun de vos domaines pour lesquels vous voulez le SSL, faites :
db domains setprop '''domain1.com''' letsencryptSSLcert enabled
#pour chacun de vos hôtes (sous-domaines) pour lesquels vous voulez le SSL, faites :
db hosts setprop '''www.domain1.com''' letsencryptSSLcert enabled
signal-event console-save
dehydrated -c
</tab>
</tabs>
Vérifiez que les certificats sont valables (votre fureteur détectera encore une erreur mais vous pouvez explorer le contenu du certificat pour voir que l'Autorité de Certification (CA en anglais) a été utilisée pour signer votre certificat SSL et que tous vos domaines et hôtes sont dans la propriété « Autre nom de l'objet du certificat ».
Pour la production ('''régler votre adresse électronique'''):
<tabs container style="display: inline-block;"><tab name="Pour SME 10">
config setprop letsencrypt status enabled email admin@$(config get DomainName)
signal-event smeserver-letsencrypt-update
dehydrated -c -x
</tab><tab name="Pour SME 9">
config setprop letsencrypt status enabled email '''admin@domain1.com'''
signal-event console-save
dehydrated -c -x
</tab>
</tabs>
===Configuration étape par étape===
====Hôtes et domaines du certificat====
====Hôtes et domaines du certificat====
Cette contribution permettra d'obtenir un seul certificat de Let's Encrypt. Le certificat inclura tous les domaines et noms d'hôtes qui :
Cette contribution permettra d'obtenir un seul certificat de Let's Encrypt. Le certificat inclura tous les domaines et noms d'hôtes qui :
* domaine1.com
* domaine1.com
** www.domaine1.com
** mail.domaine1.com
** ftp.domaine1.com
* domaine2.com
* domaine2.com
** www.domaine2.com
** mail.domaine2.com
Pour chaque DOMAINE que vous voulez voir inclus dans le certificat, exécutez cette commande :
Pour chaque DOMAINE que vous voulez voir inclus dans le certificat, exécutez cette commande :
* la définition de « domains » obtiendra un certificat couvrant domain1.com et domain2.com, mais pas www.domain1.com, etc. ;
* la définition de « domains » obtiendra un certificat couvrant domain1.com et domain2.com, mais pas www.domain1.com, etc. ;
* le réglage sur « hosts » obtiendra un certificat couvrant www.domain1 .com, mail.domain1.com, ftp.domain1.com, etc., mais pas domain1.com ou domain2.com ;
* le réglage sur « hosts » obtiendra un certificat couvrant www.domain1 .com, mail.domain1.com, ftp.domain1.com, etc., mais pas domain1.com ou domain2.com ;
* le réglage de cette propriété sur « all » inclura tous les noms de domaine et les noms d'hôtes dans le certificat. '' 'voyez [[Letsencrypt # Some_challenges_complete_successfully_but_some_hostnames_fail | NOTE]] avant de régler ceci sur « all ».' ''
* le réglage de cette propriété sur « all » inclura tous les noms de domaine et les noms d'hôtes dans le certificat. '''Voyez cette [[Letsencrypt/Troubleshooting#Some_challenges_complete_successfully_but_some_hostnames_fail | NOTE en anglais]] avant de régler ce paramètre sur « all ».'''
====Activer le mode test ====
Après avoir installé et configuré tous les domaines et hôtes, l'étape suivante consiste à utiliser le mode test, qui est activé par défaut. Cela procurera des certificats du serveur intermédiaire. Les limites renouvellement exposées dans l'introduction ne s'appliqueront pas, donc toute erreur ou tout autre problème ne vous empêcheront pas d'obtenir votre certificat de production.
Activer le mode test en utilisant cette commande :
config setprop letsencrypt status test
config setprop letsencrypt status test
signal-event console-save
signal-event console-save
S'il s'imprime uniquement "# INFO: Using main config file /etc/dehydrated/config"" et vous renvoie à l'invite du shell, voir [[Bugzilla:10300]].
S'il s'imprime uniquement "# INFO: Using main config file /etc/dehydrated/config"" et vous renvoie à l'invite du shell, voir [[Bugzilla:10300]].
{{Note box|type=Note :| solution pour l'erreur « ID de compte mal formé dans l'URL d'en-tête KeyID » à l'aide de l'API 2, pour les versions de contribution 0.6.13 ou antérieures Voir [[Bugzilla: 10828]] ou mettre à jour la contribution.}}
{{Note box|type=Note :| solution pour l'erreur « ID de compte mal formé dans l'URL d'en-tête KeyID » à l'aide de l'API 2, pour les versions de contribution 0.6.13 ou antérieures, voir [[Bugzilla: 10828]] ou mettre à jour la contribution.}}
Si cela fonctionne sans erreur, essayez de vous connecter à la page du gestionnaire de votre serveur. Vous devriez voir une erreur indiquant que le certificat de sécurité n'a pas été émis par une autorité de certification approuvée. C'est parfaitement normal. Cependant, il devrait y avoir un certificat, il devrait inclure tous les noms d'hôte que vous vouliez inclure, et il devrait être valide pour les quatre-vingt-dix prochains jours. Si cela a réussi, passez à la production.
Si cela fonctionne sans erreur, essayez de vous connecter à la page du gestionnaire de votre serveur. Vous devriez voir une erreur indiquant que le certificat de sécurité n'a pas été émis par une autorité de certification approuvée. C'est parfaitement normal. Cependant, il devrait y avoir un certificat, il devrait inclure tous les noms d'hôte que vous vouliez inclure, et il devrait être valide pour les quatre-vingt-dix prochains jours. Si cela a réussi, passez à la production.
===Activer le mode production ===
====Activer le mode production ====
Une fois que vous avez testé avec succès votre installation, réglez-la en mode production en utilisant les commandes suivantes :
Une fois que vous avez testé avec succès votre installation, réglez-la en mode production en utilisant les commandes suivantes :
L'indicateur -x ici est nécessaire pour forcer «dehydrated» à obtenir un nouveau certificat, même si vous avez un certificat existant qui est valide pendant plus de 30 jours.
L'indicateur -x ici est nécessaire pour forcer «dehydrated» à obtenir un nouveau certificat, même si vous avez un certificat existant qui est valide pendant plus de 30 jours.
Si cette commande a réussi, félicitations ! Vous avez réussi à obtenir un certificat TLS de confiance et valide, qui se renouvellera automatiquement à perpétuité.
Si cette commande a réussi, félicitations ! Vous avez réussi à obtenir un certificat TLS de confiance et valide, qui se renouvellera automatiquement perpétuellement.
Une fois que vous avez obtenu votre certificat et configuré votre serveur, testez votre serveur avec un outil comme [https://www.ssllabs.com/ssltest/ SSLLabs.com] pour vous assurer qu'il fonctionne correctement.
Une fois que vous avez obtenu votre certificat et configuré votre serveur, testez votre serveur avec un outil comme [https://www.ssllabs.com/ssltest/ SSLLabs.com] pour vous assurer qu'il fonctionne correctement.
===Archiver les vieux certificats===
====Archiver les vieux certificats====
Une nouvelle fonction vous permet de nettoyer les vieux certificats et de les archiver.
Une nouvelle fonction vous permet de nettoyer les vieux certificats et de les archiver.
dehydrated --cleanup (-gc)
dehydrated --cleanup (-gc)
===Exemples de démarrage rapide===
===Paramètres de configuration===
{| class="wikitable"
!Clé
!propriété
!par défaut
!valeurs
!
|-
| rowspan="10" |letsencrypt
|ACCEPT_TERMS
|
|empty, yes
|configurer à « yes » pour accepter les termes du service ; si le paramètre est laissé à « empty », la contribution ne fonctionnera pas.
|-
|API
|2
|1, 2
|obsolète, sera toujours v2, car v1 est obsolète depuis juin 2021.
==Installation manuelle de « Dehydrated »==
|-
|configure
|none
|none, all, domains, hosts
|cela changera le comportement par défaut sur les domaines ou les hôtes non explicites avec « letsencryptSSLcert enabled ». Par défaut, ne sera pas utilisé : si « hosts » est défini, demandera un certificat pour tous les hôtes ; si « domains » est définis, demandera un certificat pour tous les domaines ; si « all » est défini, demandera un certificat à la fois pour tous les domaines et pour tous les hôtes. Dans toutes les situations, il demandera un certificat pour les domaines/hôtes où « letsencryptSSLcert enabled » est défini et rien si « letsencryptSSLcert disabled » est défini.
|-
|email
|
|email
|entrer l'adresse courriel pour créer le compte et recevoir des mises à jour de Let's Encrypt.
|-
|hookScript
|disabled
|enabled, disabled
|déclenchera un script hook avancé s'il est activé, même s'il est désactivé, la partie signal-event ssl-update pour propager le certificat s'exécutera.
|-
|hostOverride
|disabled
|yes, disabled
|désactivé par défaut. S'il est désactivé, il ne demandera que le certificat pour les hôtes (si sélectionné selon la configuration et avec « letsencryptSSLcert enabled ») pour les hôtes avec type=Self. Si défini sur « yes », inclura tous les hôtes répertoriés, qu'ils soient distants ou locaux.
|-
|keysize
|4096
|base 2 number
|longueur de la clé privée de votre certificat si vous ne voulez pas la '''valeur par défaut de 4096''' bits. Ce ne sera pas nécessaire dans la majorité des cas mais, si c'est désiré, utilisez cette commande pour le faire.
|-
|status
|test
|enabled, disabled, test
|par défaut, le statut est désactivé. '''Dans un premier temps, configurez sur « test »''' pour se connecter au serveur de test de Let's Encrypt afin de vérifier si votre serveur est bien configuré. Après avoir vérifié que tout va bien, vous pouvez configurer le statut sur « enabled ».
|}
'''THIS MAY BREAK NON STANDARD CUSTOMIZATION OF YOUR SERVER, YOU NEED TO UNDERSTAND WHY THIS HAS BEEN CHANGED BEFORE YOU REVERSE IT'''
==Dépannage==
Voir cette [[Letsencrypt/Troubleshooting |page (en anglais).]]
==Fonctions avancées==
Voir cette [[Letsencrypt/Advanced/fr |page.]]
==Désinstallation==
yum remove smeserver-letsencrypt letsencrypt
=== Obtenir des certificats pour un serveur KOOZALI SME privé ===
= Bogues =
= Bogues =
{{#bugzilla:columns=id,product,version,status,summary |sort=id |order=desc |component=smeserver-letsencrypt |disablecache=1|noresultsmessage="No open bugs found."}}
{{#bugzilla:columns=id,product,version,status,summary |sort=id |order=desc |component=smeserver-letsencrypt |disablecache=1|noresultsmessage="No open bugs found."}}
= Changelog =
= Journal des modifications =
Seules les versions publiées dans le dépôt smecontrib sont rapportées ici.
{{#smechangelog:smeserver-letsencrypt}}
{{#smechangelog:smeserver-letsencrypt}}