Просмотр кода страницы Установка сертификата Let’s Encrypt Nginx в CentOS 7

Для владельцев сайтов рано или поздно наступает вопрос перехода сайта на https с использованием доверенных SSL-сертификатов. Можно его приобрести за деньги, можно сэкономить и получить бесплатный сертификат Let’s Encrypt, но с небольшими неудобствами в виде ограничения срока действия в 90 дней, которые решаются в данной статье.
=== Установка Certbot. ===
1. Для установки Certbot необходимо сначала установить репозиторий epel-release, командой:
<pre>
yum install epel-release -y
</pre>
2. Переходим к установке клиента Certbot и плагина nginx, если в роли веб-сервера у вас Nginx:
<pre>
yum install certbot python2-certbot-nginx -y
</pre>
для веб-сервера сайта на Apache команда будет следующая:
<pre>
yum install certbot python2-certbot-apache -y
</pre>
=== Получение сертификата Let’s Encrypt. ===
3. Выполняем команду, которая выполнит запрос на получение SSL-сертификата для веб-сервера Nginx:
<pre>
certbot --nginx
</pre>
для Apache:
<pre>
certbot --apache
</pre>
После ввода команды мы должны получить вывод с просьбой указать e-mail, где указываем свой почтовый ящик и нажимаем Enter:
<pre>
# Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator nginx, Installer nginx
Enter email address (used for urgent renewal and security notices)
(Enter 'c' to cancel): adminwin@mail.ru
</pre>
4. После ввода e-mail нам предлагается ознакомиться и подтвердить лицензионное соглашение, нажав «Y»:
<pre>
- - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server. Do you agree?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: Y
</pre>
5. Снова видим запрос на публикацию введенного e-mail, который отклоняем клавишей «N» и видимо сообщение «Аккаунт зарегистрирован»:
<pre>
- - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing, once your first certificate is successfully issued, to
share your email address with the Electronic Frontier Foundation, a founding
partner of the Let's Encrypt project and the non-profit organization that
develops Certbot? We'd like to send you email about our work encrypting the web,
EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: N
Account registered.
</pre>
6. На этом шаге Certbot исследует конфигурационный файл и директорию веб-сервера и должен найти домен сайта. Если на сервере несколько доменов, то он отразит все, из которых надо будет выбрать необходимый соответствующей клавишей:
<pre>
Which names would you like to activate HTTPS for?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: ithelp21.ru
2: adminwin.ru
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate numbers separated by commas and/or spaces, or leave input
blank to select all options shown (Enter 'c' to cancel): 2
</pre>
и получаем ответ, где говорится, что сертификат развернут и запросы на 80 порт (http) перенаправляются на 443 (https). Может открыть страницу сайта в браузере и убедиться, что адресная строка с https://.
<pre>
Deploying certificate to virtualhost /etc/nginx/sites-enabled/adminwin
Traffic on port 80 already redirecting to ssl in /etc/nginx/sites-enabled/adminwin
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Congratulations! Your have sucessfully enabled https://adminwin.ru
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

   IMPORTANT NOTES:
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le
</pre>
8. Для контрольной проверки введем команду, которая принудительно перевыпустит сертификат:
<pre>
certbot renew --dry-run
</pre>
=== Автоматическое обновление сертификатов Certbot ===
9. Так как срок действия бесплатного сертификата Let’s Encrypt 90 дней, то нужно процесс перевыпуска автоматизировать. Для этого зададим команду таймера обновления certbot:
<pre>
sudo systemctl enable --now certbot-renew.timer
</pre>
в ответ выдаст:
<pre>
Created symlink from /etc/systemd/system/timers.target.wants/certbot-renew.timer to /usr/lib/systemd/system/certbot-renew.timer.
</pre>
Проверим статус таймера, что он активный:
<pre>
sudo systemctl status certbot-renew.timer
</pre>

<pre>
certbot-renew.timer - This is the timer to set the schedule for automated renewals
Loaded: loaded (/usr/lib/systemd/system/certbot-renew.timer; enabled; vendor preset: disabled)
Active: active (waiting) since Wed 2021-04-07 23:05:10 MSK; 20s ago
</pre>
=== Завершение установки SLL-сертификата. ===
10. Осталось учесть момент, что после перевыпуска сертификата, веб-сервер NGINX нужно обязательно перезагрузить. Для этого перейдем к файлу /etc/sysconfig/certbot:
<pre>
nano /etc/sysconfig/certbot
</pre>
в открывшемся файле находим параметр POST_HOOK и добавляем к нему команду на перезагрузку Nginx после перевыпуска сертификата.
<pre>
POST_HOOK="--post-hook 'systemctl reload nginx'"
</pre>
12.Проверим статус таймера, что он активный:
<pre>
sudo systemctl status certbot-renew.timer
</pre>
На этом все. Более подробно с разъяснениями старался раскрыть в видео, где на adminwin.ru применял SSL-сертификат с палками в колесах.