Linux/LetsEncrypt導入
提供: 初心者エンジニアの簡易メモ
目次
certbot-autoのインストール
# cd /usr/local # git clone https://github.com/certbot/certbot # cd ./certbot # ./certbot-auto
証明書取得
./certbot-auto certonly --webroot \ -w /var/www/example/public -d example.com \ -m sample@example.com \ --agree-tos
以下エラーが発生する場合はPythonが2.6になってる可能性があるので、Python 2.7を入れる必要がある
./certbot-auto: line 558: virtualenv
Python 2.7のインストール
$ sudo yum install centos-release-scl $ sudo yum install python27 python27-python-tools $ python -V Python 2.6.6 # デフォだと2.6なので以下コマンドで一時的に2.7へ $ sudo scl enable python27 bash $ python -V Python 2.7.8
ログイン時にpythonが2.7.8となるように
# vi /etc/profile.d/enablepython27.sh #!/bin/bash source /opt/rh/python27/enable export X_SCLS="`scl enable python27 'echo $X_SCLS'`"
参考：http://blog.offline-net.com/2016/05/08/apache_24_with_letsencrypt/
証明書取得が出来たら以下ファイルが出来てることを確認
# ls /etc/letsencrypt/live/[ドメイン]/ cert.pem chain.pem fullchain.pem privkey.pem
nginx設定に追加
server {
listen 80;
server_name example.net;
rewrite ^ https://$server_name$request_uri? permanent;
}
server {
listen 443 ssl;
server_name example.net;
ssl_certificate /etc/letsencrypt/live/example.net/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.net/privkey.pem;
sslのfirewallを切る
$ sudo vi /etc/sysconfig/iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT $ sudo /etc/rc.d/init.d/iptables restart
nginxのproxyを使ってる場合
http://qiita.com/ywatai@github/items/a179186a458a42b3c7f0
sslの自動更新
有効期限が90日間しかないので自動更新する必要がある
以下で更新できるが、nginx, apacheなどを再読込しなければならないためcrontabによる手動更新が推奨される様子。
# ./certbot-auto renew
更新を手動で行いnginxの設定を再読込する
# crontab -e
全ドメインを更新するには
0 5 1 * * /usr/local/certbot/certbot-auto renew --force-renew && /etc/rc.d/init.d/nginx reload
個別ドメインを更新するには
0 5 1 * * /usr/local/certbot/certbot-auto certonly --webroot -w /var/www/example -d example.com --renew-by-default && /etc/rc.d/init.d/nginx reload
参考：https://blog.apar.jp/linux/3619/
httpsするにあたって
- scriptなどのhttp記述をhttpsへ書き直す
