Let’s Encrypt Wildcard Zertifikate mit Hostsharing manuell verwalten September 27th, 2018
Seit Juli 2017 unterstützt Hostsharing die automatische Verwaltung von Let’s Encrypt Zertifikaten für einzelne Domains und auch Subdomains.
In diesem Post soll es um die Wildcard Zertifikate gehen, die Let’s Encrypt seit März 2018 ausstellt. In meinem Fall brauche ich ein Wildcard Zertifikat für das Massenhosting von OpenPetra. Die Domain wird bei Hostsharing verwaltet, aber die Server laufen bei TBits.net, also muss ich die Zertifikate nicht bei Hostsharing einrichten. Wildcard Zertifikate werden nicht über HTTP authentifiziert, sondern über DNS. Daher muss ich also bei Hostsharing die Einträge im DNS vornehmen.
Ich habe nach einem leichtgewichtigen ACME Client gesucht, der Wildcard Domains unterstützt. Dabei bin ich auf acme.sh gestoßen, das als Shell Script (bash, dash, sh kompatibel) geschrieben ist, und auf Github gehostet ist.
Installiert wird es mit diesem Befehl:
curl https://get.acme.sh | sh |
Es wird dadurch ein Verzeichnis ~/.acme.sh angelegt und mit entsprechenden Dateien gefüllt, weniger als ein MB.
Hier ist eine Anleitung für manuelle Konfiguration über DNS: https://github.com/Neilpang/acme.sh/wiki/dns-manual-mode
Der erste Aufruf sieht so aus, für die Domain openpetra.com:
~/.acme.sh/acme.sh --issue -d '*.openpetra.com' --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please |
Die Ausgabe sieht dann in etwa so aus:
[Tue Sep 25 23:08:42 CEST 2018] Creating domain key [Tue Sep 25 23:08:42 CEST 2018] The domain key is here: /home/pacs/tim00/users/.../.acme.sh/*.openpetra.com/*.openpetra.com.key [Tue Sep 25 23:08:42 CEST 2018] Single domain='*.openpetra.com' [Tue Sep 25 23:08:42 CEST 2018] Getting domain auth token for each domain [Tue Sep 25 23:08:43 CEST 2018] Getting webroot for domain='*.openpetra.com' [Tue Sep 25 23:08:43 CEST 2018] Add the following TXT record: [Tue Sep 25 23:08:43 CEST 2018] Domain: '_acme-challenge.openpetra.com' [Tue Sep 25 23:08:43 CEST 2018] TXT value: 'nrsGiN7Yb4R8eYxx7RNRAP8x6MA2zTrgbCLemD1t7aB' [Tue Sep 25 23:08:43 CEST 2018] Please be aware that you prepend _acme-challenge. before your domain [Tue Sep 25 23:08:43 CEST 2018] so the resulting subdomain will be: _acme-challenge.openpetra.com [Tue Sep 25 23:08:43 CEST 2018] Please add the TXT records to the domains, and re-run with --renew. [Tue Sep 25 23:08:43 CEST 2018] Please add '--debug' or '--log' to check more details. [Tue Sep 25 23:08:43 CEST 2018] See: https://github.com/Neilpang/acme.sh/wiki/How-to-debug-acme.sh |
Nun muss ich diesen TXT record für die Domain openpetra.com einrichten.
Ich muss zuerst eine Datei im Verzeichnis ~/doms/openpetra.com/etc einrichten, mit dem Namen pri.openpetra.com. Der Inhalt sieht in etwa so aus:
{DEFAULT_ZONEFILE}
$TTL 60M
_acme-challenge.openpetra.com. 3600 IN TXT "nrsGiN7Yb4R8eYxx7RNRAP8x6MA2zTrgbCLemD1t7aB"
www IN A {DOM_IPNUMBER}
op012345 IN A 178.123.12.123 |
Nach etwa 3 Minuten sieht man in der Datei /var/log/named/named.log, dass die eigene Domain aktualisiert wurde.
Dann kann der zweite Schritt mit acme.sh ausgeführt werden:
~/.acme.sh/acme.sh --issue -d '*.openpetra.com' --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please --renew |
Die Ausgabe sieht wie folgt aus:
[Tue Sep 25 23:09:54 CEST 2018] Renew: '*.openpetra.com' [Tue Sep 25 23:09:55 CEST 2018] Single domain='*.openpetra.com' [Tue Sep 25 23:09:55 CEST 2018] Getting domain auth token for each domain [Tue Sep 25 23:09:55 CEST 2018] Verifying:*.openpetra.com [Tue Sep 25 23:09:58 CEST 2018] Success [Tue Sep 25 23:09:58 CEST 2018] Verify finished, start to sign. [Tue Sep 25 23:10:00 CEST 2018] Cert success. -----BEGIN CERTIFICATE----- ...........entfernt................. -----END CERTIFICATE----- [Tue Sep 25 23:10:00 CEST 2018] Your cert is in /home/pacs/tim00/users/..../.acme.sh/*.openpetra.com/*.openpetra.com.cer [Tue Sep 25 23:10:00 CEST 2018] Your cert key is in /home/pacs/tim00/users/..../.acme.sh/*.openpetra.com/*.openpetra.com.key [Tue Sep 25 23:10:00 CEST 2018] The intermediate CA cert is in /home/pacs/tim00/users/..../.acme.sh/*.openpetra.com/ca.cer [Tue Sep 25 23:10:00 CEST 2018] And the full chain certs is there: /home/pacs/tim00/users/..../.acme.sh/*.openpetra.com/fullchain.cer [Tue Sep 25 23:10:01 CEST 2018] It seems that you are using dns manual mode. please take care: The dns manual mode can not renew automatically, you must issue it again manually. You'd better use the other modes instead. [Tue Sep 25 23:10:01 CEST 2018] Call hook error. |
Ich kopiere nun die Dateien *.openpetra.com.key nach wildcard.openpetra.com.key und fullchain.cer nach wildcard.openpetra.com.crt auf den Produktionsserver, und binde sie im Nginx ein:
ssl_certificate /var/lib/certs/wildcard.openpetra.com.crt;
ssl_certificate_key /var/lib/certs/wildcard.openpetra.com.key;
Da das Zertifikat nur für 3 Monate gültig ist, habe ich eine automatische Erinnerung
in meinem Kalender eingerichtet, die mich alle 2 Monate daran erinnert, das Wildcard Zertifikat zu erneuern.