Sichern Sie Nginx mit Lets Encrypt unter CentOS 7

Let’s Encrypt ist eine kostenlose und offene Zertifizierungsstelle, die von der Internet Security Research Group (ISRG) entwickelt wurde. Von Let’s Encrypt ausgestellte Zertifikate werden heute von fast allen Browsern als vertrauenswürdig eingestuft.

In diesem Tutorial stellen wir eine Schritt-für-Schritt-Anleitung bereit, wie Sie Ihr Nginx mit Let’s Encrypt unter Verwendung des certbot-Tools unter CentOS 7 sichern können.

Voraussetzungen #

Stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllt haben, bevor Sie mit diesem Lernprogramm fortfahren:

Sie haben einen Domainnamen, der auf die IP Ihres öffentlichen Servers verweist. In diesem Tutorial verwenden wir example.com .
Sie haben das EPEL-Repository aktiviert und Nginx installiert, indem Sie How To Install Nginx on CentOS 7 befolgt haben.

Installieren Sie Certbot #

Certbot ist ein einfach zu verwendendes Tool, das die Aufgaben zum Erhalten und Erneuern von SSL-Zertifikaten von Let’s Encrypt und zum Konfigurieren von Webservern automatisieren kann.

Um das certbot-Paket aus dem EPEL-Repository zu installieren, führen Sie Folgendes aus:

sudo yum install certbot

Generiere Strong Dh (Diffie-Hellman) Gruppe #

Der Diffie-Hellman-Schlüsselaustausch (DH) ist eine Methode zum sicheren Austausch kryptografischer Schlüssel über einen ungesicherten Kommunikationskanal.

Generieren Sie einen neuen Satz von 2048-Bit-DH-Parametern, indem Sie den folgenden Befehl eingeben:

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048

Wenn Sie möchten, können Sie die Größe auf bis zu 4096 Bit ändern, aber in diesem Fall kann die Generierung je nach Systementropie mehr als 30 Minuten dauern.

Ein SSL-Zertifikat von Let’s Encrypt erhalten #

Um ein SSL-Zertifikat für unsere Domain zu erhalten, verwenden wir das Webroot-Plug-in, das funktioniert, indem es eine temporäre Datei zur Validierung der angeforderten Domain im ${webroot-path}/.well-known/acme-challenge Verzeichnis. Der Let’s Encrypt-Server sendet HTTP-Anforderungen an die temporäre Datei, um zu überprüfen, ob die angeforderte Domäne zu dem Server aufgelöst wird, auf dem certbot ausgeführt wird.

 
 Um es einfacher zu machen, werden wir alle HTTP-Anfragen für .well-known/acme-challenge abbilden in ein einziges Verzeichnis, /var/lib/letsencrypt .
 
 Die folgenden Befehle erstellen das Verzeichnis und machen es für den Nginx-Server beschreibbar.
 sudo mkdir -p /var/lib/letsencrypt/.well-knownsudo chgrp nginx /var/lib/letsencryptsudo chmod g+s /var/lib/letsencrypt
 
 Um doppelten Code zu vermeiden, erstellen Sie die folgenden zwei Snippets, die wir in alle unsere Nginx-Server-Blockdateien aufnehmen werden:
 sudo mkdir /etc/nginx/snippets
 /etc/nginx/snippets/letsencrypt.conflocation ^~ /.well-known/acme-challenge/ {
  allow all;
  root /var/lib/letsencrypt/;
  default_type "text/plain";
  try_files $uri =404;
}
 /etc/nginx/snippets/ssl.confssl_dhparam /etc/ssl/certs/dhparam.pem;

ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_session_tickets off;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
ssl_prefer_server_ciphers on;

ssl_stapling on;
ssl_stapling_verify on;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 30s;

add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload";
add_header X-Frame-Options SAMEORIGIN;
add_header X-Content-Type-Options nosniff;
 
 Das obige Snippet enthält die von Mozilla empfohlenen Chipper, aktiviert OCSP Stapling, HTTP Strict Transport Security (HSTS) und erzwingt wenige sicherheitsorientierte HTTP-Header.
 
 Sobald die Snippets erstellt sind, öffnen Sie den Domänenserverblock und fügen Sie die letsencrypt.conf ein Snippet wie unten gezeigt:
 /etc/nginx/conf.d/example.com.confserver {
  listen 80;
  server_name example.com www.example.com;

  include snippets/letsencrypt.conf;
}
 
 Laden Sie die Nginx-Konfiguration neu, damit die Änderungen wirksam werden:
 sudo systemctl reload nginx
 
 Sie können jetzt Certbot mit dem Webroot-Plug-in ausführen und die SSL-Zertifikatsdateien für Ihre Domain abrufen, indem Sie Folgendes ausgeben:
 sudo certbot certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com
 
 Wenn das SSL-Zertifikat erfolgreich erhalten wurde, druckt certbot die folgende Nachricht:
 IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/example.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/example.com/privkey.pem
   Your cert will expire on 2018-06-11. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le
 
 Nachdem Sie nun die Zertifikatsdateien haben, können Sie Ihren Domänenserverblock wie folgt bearbeiten:
 /etc/nginx/conf.d/example.com.confserver {
    listen 80;
    server_name www.example.com example.com;

    include snippets/letsencrypt.conf;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    return 301 https://example.com$request_uri;
}

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    include snippets/ssl.conf;
    include snippets/letsencrypt.conf;

    # . . . other code
}
 
 Mit der obigen Konfiguration erzwingen wir HTTPS und leiten die www-Version auf eine nicht-www-Version um.
 
 Laden Sie abschließend den Nginx-Dienst neu, damit die Änderungen wirksam werden:
 sudo systemctl reload nginx
 SSL-Zertifikat von Let’s Encrypt automatisch verlängern #
 
 Die Zertifikate von Let’s Encrypt sind 90 Tage gültig. Um die Zertifikate automatisch zu erneuern, bevor sie ablaufen, erstellen wir einen Cronjob, der zweimal täglich ausgeführt wird und jedes Zertifikat 30 Tage vor seinem Ablauf automatisch verlängert.
 
 Führen Sie crontab aus Befehl zum Erstellen eines neuen Cronjobs:
 sudo crontab -e
 
 Fügen Sie die folgenden Zeilen ein:
 0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload nginx"
 
 Speichern und schließen Sie die Datei.
 
 Um den Erneuerungsprozess zu testen, können Sie den Befehl certbot gefolgt von --dry-run verwenden Schalter:
 sudo certbot renew --dry-run
 
 Wenn keine Fehler vorliegen, bedeutet dies, dass der Testerneuerungsprozess erfolgreich war.