Let's Encrypt es una autoridad de certificación abierta y gratuita desarrollada por Internet Security Research Group (ISRG). Casi todos los navegadores confían en los certificados emitidos por Let's Encrypt.
En este tutorial, proporcionaremos instrucciones paso a paso sobre cómo asegurar su Nginx con Let's Encrypt usando la herramienta certbot en Ubuntu 16.04.
Requisitos previos #
Asegúrese de cumplir con los siguientes requisitos previos antes de continuar con este tutorial:
- Tiene un nombre de dominio que apunta a la IP de su servidor público. En este tutorial usaremos
example.com. - Ha instalado Nginx siguiendo Cómo instalar Nginx en Ubuntu 16.04.
Instalar Certbot #
Certbot es una utilidad escrita en python que puede automatizar las tareas para obtener y renovar certificados SSL de Let's Encrypt y configurar servidores web.
Primero instale el software-properties-common paquete que proporciona el add-apt-repository herramienta necesaria para agregar PPA adicionales.
Actualice el índice de paquetes e instale software-properties-common con:
sudo apt updatesudo apt install software-properties-common
Una vez completada la instalación, agregue el repositorio PPA de certbot a su sistema usando el siguiente comando:
sudo add-apt-repository ppa:certbot/certbotActualice la lista de paquetes e instale el paquete certbot:
sudo apt updatesudo apt install certbot
Generar Dh Fuerte (Diffie-Hellman) Grupo #
El intercambio de claves Diffie-Hellman (DH) es un método de intercambio seguro de claves criptográficas a través de un canal de comunicación no seguro. Genere un nuevo conjunto de parámetros DH de 2048 bits para fortalecer la seguridad:
sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048Obtención de un certificado SSL de Let's Encrypt #
Para obtener un certificado SSL para nuestro dominio vamos a utilizar el complemento Webroot que funciona creando un archivo temporal para validar el dominio solicitado en el ${webroot-path}/.well-known/acme-challenge directorio. El servidor Let's Encrypt realiza solicitudes HTTP al archivo temporal para validar que el dominio solicitado se resuelva en el servidor donde se ejecuta certbot.
Para hacerlo más simple, vamos a mapear todas las solicitudes HTTP para .well-known/acme-challenge a un solo directorio, /var/lib/letsencrypt .
Los siguientes comandos crearán el directorio y lo harán escribible para el servidor Nginx.
sudo mkdir -p /var/lib/letsencrypt/.well-knownsudo chgrp www-data /var/lib/letsencryptsudo chmod g+s /var/lib/letsencrypt
Para evitar la duplicación de código, cree los siguientes dos fragmentos que vamos a incluir en todos nuestros archivos de bloque del servidor Nginx.
/etc/nginx/snippets/letsencrypt.conflocation ^~ /.well-known/acme-challenge/ {
allow all;
root /var/lib/letsencrypt/;
default_type "text/plain";
try_files $uri =404;
}
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;
ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;
add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
El fragmento anterior incluye los chippers recomendados por Mozilla, habilita el grapado OCSP, HTTP Strict Transport Security (HSTS) y aplica algunos encabezados HTTP centrados en la seguridad.
Una vez que se crean los fragmentos, abra el bloque del servidor de dominio e incluya el letsencrypt.conf fragmento como se muestra a continuación:
server {
listen 80;
server_name example.com www.example.com;
include snippets/letsencrypt.conf;
}
Active el bloqueo del servidor creando un enlace simbólico desde sites-available a sites-enabled :
sudo ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled/example.com.confVuelva a cargar la configuración de Nginx para que los cambios surtan efecto:
sudo systemctl reload nginxEjecute el script de certbot con el complemento webroot y obtenga los archivos del certificado SSL:
sudo certbot certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.comSi el certificado SSL se obtiene con éxito, certbot imprimirá el siguiente mensaje:
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at:
/etc/letsencrypt/live/example.com/fullchain.pem
Your key file has been saved at:
/etc/letsencrypt/live/example.com/privkey.pem
Your cert will expire on 2018-04-23. To obtain a new or tweaked
version of this certificate in the future, simply run certbot
again. To non-interactively renew *all* of your certificates, run
"certbot renew"
- If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le
Ahora que tenemos los archivos de certificado, edite el bloque del servidor de dominio de la siguiente manera:
/etc/nginx/sites-available/example.com.confserver {
listen 80;
server_name www.example.com example.com;
include snippets/letsencrypt.conf;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
server_name www.example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
include snippets/ssl.conf;
include snippets/letsencrypt.conf;
return 301 https://example.com$request_uri;
}
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
include snippets/ssl.conf;
include snippets/letsencrypt.conf;
# . . . other code
}
Con la configuración anterior estamos forzando HTTPS y redirigiendo el www versión del dominio al non www versión.
Vuelva a cargar el servicio Nginx para que los cambios surtan efecto:
sudo systemctl reload nginxRenovación automática del certificado SSL #
Los certificados de Let's Encrypt tienen una validez de 90 días. Para renovar automáticamente los certificados antes de que caduquen, el paquete certbot crea un cronjob que se ejecutará dos veces al día y renovará automáticamente cualquier certificado 30 días antes de su vencimiento.
Dado que estamos utilizando el complemento certbot webroot una vez que se renueva el certificado, también tenemos que volver a cargar el servicio nginx. Para hacerlo, agregue --renew-hook "systemctl reload nginx" al /etc/cron.d/certbot archivo para que se vea así:
0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload nginx"
Para probar el proceso de renovación, use el certbot --dry-run cambiar:
sudo certbot renew --dry-runSi no hay errores, significa que el proceso de renovación fue exitoso.