Просмотр исходного текста страницы Настройка SSL сертификатов (Let's Encrypt)

= Настройка SSL сертификатов (Let's Encrypt) =

== 1. Подготовка системы ==

* Войдите в систему под учетной записью с правами '''root''' или пользователя с правами '''sudo'''.
* Убедитесь, что домен указывает на ваш сервер (A-запись в DNS).

== 2. Установка Certbot ==

=== Для Ubuntu/Debian ===

1. Обновите список пакетов:
<pre>sudo apt update</pre>

2. Установите Certbot:
<pre>sudo apt install certbot</pre>

3. Установите плагин для вашего веб-сервера:
<pre>sudo apt install python3-certbot-apache</pre>
<pre>sudo apt install python3-certbot-nginx</pre>

=== Для CentOS/RHEL/Fedora ===

1. Установите EPEL репозиторий:
<pre>sudo yum install epel-release</pre>

2. Установите Certbot:
<pre>sudo yum install certbot python3-certbot-apache</pre>

== 3. Получение SSL сертификата ==

=== Автоматическая настройка для Apache ===

1. Получите сертификат и автоматически настроите Apache:
<pre>sudo certbot --apache -d example.com -d www.example.com</pre>

2. Следуйте инструкциям:
* '''Введите email адрес''' для уведомлений
* '''Согласитесь с условиями''' (A)
* '''Выберите опцию перенаправления''' (2 - рекомендуется)

=== Автоматическая настройка для Nginx ===

1. Получите сертификат и автоматически настроите Nginx:
<pre>sudo certbot --nginx -d example.com -d www.example.com</pre>

2. Следуйте инструкциям аналогично Apache.

=== Ручная настройка (без автоматической конфигурации) ===

1. Получите только сертификат:
<pre>sudo certbot certonly --webroot -w /var/www/html -d example.com -d www.example.com</pre>

2. Сертификаты будут сохранены в:
<pre>/etc/letsencrypt/live/example.com/</pre>

== 4. Проверка сертификата ==

1. Проверьте статус сертификатов:
<pre>sudo certbot certificates</pre>

2. Проверьте автоматическое обновление:
<pre>sudo certbot renew --dry-run</pre>

3. Откройте сайт в браузере: '''https://example.com'''

== 5. Настройка автоматического обновления ==

=== Настройка cron задачи ===

1. Откройте crontab:
<pre>sudo crontab -e</pre>

2. Добавьте задачу обновления:
<pre>0 12 * * * /usr/bin/certbot renew --quiet</pre>
<pre>0 0 * * * /usr/bin/certbot renew --quiet</pre>

=== Настройка systemd таймера ===

1. Проверьте статус таймера:
<pre>sudo systemctl status certbot.timer</pre>

2. Включите автозапуск:
<pre>sudo systemctl enable certbot.timer</pre>

== 6. Настройка для Apache ==

=== Ручная настройка виртуального хоста ===

1. Создайте файл конфигурации SSL:
<pre>sudo nano /etc/apache2/sites-available/example.com-ssl.conf</pre>

2. Добавьте конфигурацию:
<pre><VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com/public_html
    
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem
    
    <Directory /var/www/example.com/public_html>
        AllowOverride All
        Require all granted
    </Directory>
</VirtualHost></pre>

3. Включите SSL модуль и сайт:
<pre>sudo a2enmod ssl</pre>
<pre>sudo a2ensite example.com-ssl.conf</pre>
<pre>sudo systemctl restart apache2</pre>

== 7. Настройка для Nginx ==

=== Ручная настройка SSL в Nginx ===

1. Отредактируйте конфигурацию сайта:
<pre>sudo nano /etc/nginx/sites-available/example.com</pre>

2. Добавьте SSL конфигурацию:
<pre>server {</pre>
<pre>listen 443 ssl http2;</pre>
<pre>server_name example.com www.example.com;</pre>
<pre>root /var/www/example.com/public_html;</pre>
<pre>index index.html index.php;</pre>
<pre>ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;</pre>
<pre>ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;</pre>
<pre>ssl_protocols TLSv1.2 TLSv1.3;</pre>
<pre>ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384;</pre>
<pre>ssl_prefer_server_ciphers off;</pre>
<pre>ssl_session_cache shared:SSL:10m;</pre>
<pre>ssl_session_timeout 10m;</pre>
<pre>location / {</pre>
<pre>try_files $uri $uri/ =404;</pre>
<pre>}</pre>
<pre>location ~ \.php$ {</pre>
<pre>include snippets/fastcgi-php.conf;</pre>
<pre>fastcgi_pass unix:/var/run/php/php8.1-fpm.sock;</pre>
<pre>}</pre>
<pre>}</pre>
<pre>server {</pre>
<pre>listen 80;</pre>
<pre>server_name example.com www.example.com;</pre>
<pre>return 301 https://$server_name$request_uri;</pre>
<pre>}</pre>

3. Проверьте конфигурацию и перезапустите Nginx:
<pre>sudo nginx -t</pre>
<pre>sudo systemctl restart nginx</pre>

== 8. Настройка файрвола ==

=== Для Ubuntu/Debian (ufw) ===

1. Разрешите HTTPS трафик:
<pre>sudo ufw allow 443/tcp</pre>
<pre>sudo ufw allow 80/tcp</pre>

=== Для CentOS/RHEL (firewalld) ===

1. Разрешите HTTPS и HTTP:
<pre>sudo firewall-cmd --permanent --add-service=https</pre>
<pre>sudo firewall-cmd --permanent --add-service=http</pre>
<pre>sudo firewall-cmd --reload</pre>

== 9. Дополнительные настройки безопасности ==

=== Настройка HSTS ===

1. Для Apache добавьте в конфигурацию:
<pre>Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"</pre>

2. Для Nginx добавьте:
<pre>add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;</pre>

=== Настройка OCSP Stapling ===

1. Для Apache добавьте:
<pre>SSLUseStapling on</pre>
<pre>SSLStaplingCache "shmcb:logs/stapling-cache(150000)"</pre>

2. Для Nginx добавьте:
<pre>ssl_stapling on;</pre>
<pre>ssl_stapling_verify on;</pre>
<pre>ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;</pre>

== 10. Мониторинг и уведомления ==

=== Настройка уведомлений по email ===

1. Создайте скрипт для проверки сертификатов:
<pre>sudo nano /usr/local/bin/ssl-check.sh</pre>

2. Добавьте содержимое:
<pre>DOMAIN="example.com"</pre>
<pre>DAYS=30</pre>
<pre>CERT_PATH="/etc/letsencrypt/live/$DOMAIN/cert.pem"</pre>
<pre>if [ -f "$CERT_PATH" ]; then</pre>
<pre>EXPIRY_DATE=$(openssl x509 -enddate -noout -in "$CERT_PATH" | cut -d= -f2)</pre>
<pre>EXPIRY_EPOCH=$(date -d "$EXPIRY_DATE" +%s)</pre>
<pre>CURRENT_EPOCH=$(date +%s)</pre>
<pre>DAYS_LEFT=$(( (EXPIRY_EPOCH - CURRENT_EPOCH) / 86400 ))</pre>
<pre>if [ $DAYS_LEFT -lt $DAYS ]; then</pre>
<pre>echo "SSL сертификат для $DOMAIN истекает через $DAYS_LEFT дней!" | mail -s "SSL сертификат истекает" admin@example.com</pre>
<pre>fi</pre>
<pre>fi</pre>

3. Сделайте скрипт исполняемым:
<pre>sudo chmod +x /usr/local/bin/ssl-check.sh</pre>

4. Добавьте в crontab:
<pre>0 9 * * * /usr/local/bin/ssl-check.sh</pre>

== 11. Устранение неполадок ==

=== Частые проблемы ===

1. '''Ошибка "Domain validation failed"''':
* Проверьте, что домен указывает на ваш сервер
* Убедитесь, что порты 80 и 443 открыты

2. '''Ошибка "Too many requests"''':
* Let's Encrypt имеет лимит 5 сертификатов в неделю на домен
* Подождите или используйте staging окружение

3. '''Ошибка "Certificate not found"''':
* Проверьте путь к сертификатам
* Убедитесь, что сертификат был получен успешно

=== Проверка сертификата ===

1. Проверьте детали сертификата:
<pre>openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -text -noout</pre>

2. Проверьте цепочку сертификатов:
<pre>openssl verify -CAfile /etc/letsencrypt/live/example.com/chain.pem /etc/letsencrypt/live/example.com/cert.pem</pre>

== 12. Дополнительные возможности ==

=== Получение wildcard сертификата ===

1. Установите DNS плагин:
<pre>sudo apt install python3-certbot-dns-cloudflare</pre>

2. Получите wildcard сертификат:
<pre>sudo certbot certonly --dns-cloudflare --dns-cloudflare-credentials ~/.secrets/cloudflare.ini -d "*.example.com" -d example.com</pre>

=== Использование staging окружения ===

1. Получите тестовый сертификат:
<pre>sudo certbot --staging -d example.com</pre>

2. После успешного тестирования получите реальный сертификат:
<pre>sudo certbot -d example.com</pre>

== Заключение ==

SSL сертификаты Let's Encrypt успешно настроены! Ваш сайт теперь защищен шифрованием.

'''Для размещения ваших защищенных проектов на надежном хостинге рекомендуем воспользоваться услугами [ARK-HOSTER.RU](https://ark-hoster.ru):'''

* '''[Выделенные серверы](https://ark-hoster.ru/dedicated/)''' - для высоконагруженных проектов с SSL
* '''[VPS/VDS серверы](https://ark-hoster.ru/vpsgame/)''' - для небольших и средних проектов

Наши специалисты помогут с настройкой SSL сертификатов и обеспечением безопасности ваших сайтов!