Confconsole - Let's Encrypt

अवलोकन

Confconsole Let's Encrypt प्लगइन Let's Encrypt के माध्यम से एक मुफ्त वैध CA हस्ताक्षर TLS/SSL प्रमाणपत्र प्राप्त करने का एक सरल तरीका प्रदान करता है। यह दोनों का समर्थन करता है HTTP-01 और DNS-01 "चल्लेंज" तरीके जो आपके द्वारा पंजीकृत किए गए (उप) डोमेन (s) के नियंत्रण को मान्य करने के लिए।

HTTP-01 चुनौतियों को हमारे कस्टम मिनी वेबसर्वर द्वारा पोर्ट 80 के माध्यम से होस्ट किया जाता है। यदि पोर्ट 80 पहले से ही उपयोग में है, तो डिफ़ॉल्ट वेबसर्वर अस्थायी रूप से बंद हो जाता है। DNS-01 चुनौतियों को अस्थायी रूप से एक TXT DNS रिकॉर्ड को एक के माध्यम से स्थापित करके पूरा किया जाता है DNS प्रदाता का समर्थन किया API.

डिफ़ॉल्ट Confconsole द्वारा 4 उप डोमेन तक डोमेन रजिस्टर करने का समर्थन करता है, एक प्रमाण पत्र में जो मौजूदा वेबसर्वर सभी https पोर्टों पर उपयोग करेगा। तो व्यवस्थापक, आदि भी उसी प्रमाण पत्र का उपयोग करेंगे, जैसा कि Webmin होगा (क्योंकि यह मिनीसर्वर में बनाया गया है)। वाइल्डकार्ड प्रमाणपत्र भी समर्थित हैं, लेकिन उन्हें DNS-01 मान्यता (HTTP-01 के साथ संगत नहीं) की आवश्यकता होती है।

Confconsole के माध्यम से प्रारंभिक सेटअप से परे, आपके सर्वर का कोई अतिरिक्त विन्यास आम तौर पर आवश्यक नहीं है। आम उपयोग परिदृश्य को "अन्याय" करना चाहिए। अधिक असामान्य और/या जटिल अभी भी संभव हैं, लेकिन इसके अलावा अतिरिक्त विन्यास की आवश्यकता हो सकती है।

डिफ़ॉल्ट रूप से, Confconsole को इन सर्वरों / वेबसर्वरों के साथ "अन्य कार्य" होना चाहिए:

• Apache
• LigHTTPd
• Nginx
• टॉमकैट
• Webmin

यदि आप वैकल्पिक सर्वरों के लिए समर्थन देखना चाहते हैं, तो कृपया पोस्ट करें मंच(in) और/or open a issue on हमारा ट्रैकर यदि आप कोड को योगदान देने के लिए खुले हैं, तो इसका स्वागत गर्मजोशी से किया जाता है।

ऑटो नवीनीकरण

इस विकल्प का चयन डिफ़ॉल्ट TLS/SSL प्रमाणपत्र नवीकरण क्रोन नौकरी (DDP) बनाता है (D)/etc/cron.daily/confconsole-dehydrated(information) निष्पादन योग्य (या नहीं) /etc/cron.daily के भीतर केवल निष्पादन योग्य फाइलें स्वतः क्रॉन द्वारा ट्रिगर होती हैं।

ध्यान दें: जब तक आपको अपना प्रारंभिक प्रमाणपत्र प्राप्त नहीं होता (जो भी निर्जलित को कॉन्फ़िगर करता है) तब तक क्रोन जॉब cron.daily डायरेक्टरी में मौजूद नहीं होता है। यह सुनिश्चित करता है कि क्रोन नौकरी को तब तक सक्षम नहीं किया जा सकता जब तक कि निर्जलित-रैपर रन नहीं हो गया है (और उम्मीद है कि Let's Encrypt TLS/SSL Cert उत्पन्न किया गया है)।

ध्यान दें: TurnKey Let's Encrypt एकीकरण के साथ वाइल्डकार्ड प्रमाणपत्र उत्पन्न करने के लिए, आपको उपयोग करने की आवश्यकता होगी DNS-01 प्रमाणीकरणDNS-01 सत्यापन Confconsole v2.1 (TurnKey v18.0 में पहली बार दिखाई देता है) से पहले उपलब्ध नहीं है।

वास्तव में क्या काम करता है, इसके बारे में अधिक जानकारी के लिए, कृपया देखें Cron job विवरण नीचे।

प्रमाण पत्र प्राप्त करें

इस विकल्प का चयन करने से आप सर्वर के लिए एक पूरी तरह से योग्य डोमेन नाम (FQDN) सेट कर सकते हैं।

एक अन्य विकल्प एक रूट डोमेन सेट करना है और 4 अलग-अलग उप डोमेन तक है।

यदि आप एक से अधिक रूट डोमेन और/या 4 उप डोमेन से अधिक सेट करना चाहते हैं, तो मैनुअल कॉन्फ़िगरेशन की आवश्यकता है। कृपया देखें उन्नत - एकाधिक डोमेन नामों के साथ उपयोग नीचे। यदि आपके पास कोई अन्य परिदृश्य शामिल नहीं है, तो कृपया फ़ोरम पर साइन अप करें और पोस्ट करें।

प्रमाणपत्र प्राप्त करना - HTTP-01

यह विकल्प डोमेन के सार्वजनिक DNS रिकॉर्ड्स को देखने और यह जांचकर कि उपयुक्त चुनौती डेटा को माध्यम से परोसा जा रहा है, डोमेन के स्वामित्व को मान्य करेगा। अपने सर्वर का 80 पोर्ट।

आवश्यकता:

• पोर्ट 80: पोर्ट 80 (डिफ़ॉल्ट वेनिला HTTP पोर्ट) को आपके सर्वर पर खुला होना चाहिए और सार्वजनिक रूप से उपलब्ध होना चाहिए।
• DNS रिकॉर्ड: आधिकारिक 'A'/'AAAA' या 'CNAME' रिकॉर्ड जो आपके सर्वर को हल करता है (आपके लिए सभी डोमेन / सबडोमेन के लिए)

पोर्ट 80: इसके अलावा, बंदरगाह को बाहरी रूप से सुलभ होने के अलावा मौजूदा वेब सर्वर विन्यास में कोई बदलाव की आवश्यकता नहीं है। उदाहरण के लिए, Eg। HTTP से HTTP तक सभी यातायात को पुनर्निर्देशित करने वाले वेब सर्वर को अनदेखा कर दिया जाएगा, इसलिए इसे बदलने की आवश्यकता नहीं है।

DNS रिकॉर्ड(s): यदि आपने अपने DNS रेजिस्ट्रार के साथ सिर्फ आवश्यक बदलाव किए हैं, तो कृपया ध्यान रखें कि यह DNS रिकॉर्ड के लिए सार्वजनिक रूप से प्रचारित करने के लिए समय ले सकता है। यह जाँचने के लिए कि आपका DNS रिकॉर्ड सार्वजनिक रूप से उपलब्ध हैं, कृपया 'dig' के माध्यम से जांच करें। उदाहरण के लिए Google का मुफ्त ऑनलाइन डिग टूल.

महत्वपूर्ण नोट: कृपया सुनिश्चित करें कि आपके पास अपने डोमेन नेमसर्वर सही ढंग से कॉन्फ़िगर किए गए हैं और पोर्ट 80 सार्वजनिक रूप से इस चलाने से पहले उपलब्ध है। ऐसा करने में विफलता Let's Encrypt चुनौतियों को विफल करने का कारण बन सकती है ( इसलिए आपको प्रमाण पत्र नहीं मिलेगा)। बार बार बार बार बार बार असफलता आपके सर्वर को आगे के प्रयासों से अवरुद्ध (एक सप्ताह के लिए) होने का कारण बन सकती है।

प्रमाणपत्र प्राप्त करना - DNS-01

यह विकल्प रूट डोमेन के एक विशेष सार्वजनिक DNS TXT रिकॉर्ड को देखकर डोमेन के स्वामित्व को मान्य करेगा और यह सुनिश्चित करेगा कि इसमें उचित चुनौती है। डेटा। आपके सर्वर पर कोई बाहरी पहुंच की आवश्यकता नहीं है, इसलिए यह विकल्प आंतरिक / इंट्रानेट सर्वर के लिए आदर्श है। यह विकल्प वाइल्डकार्ड प्रमाणपत्र (जैसे '*.example.com') का भी समर्थन करता है।

आवश्यकता:

• समर्थित DNS प्रदाता: आपका डोमेन एक साथ पंजीकृत होना चाहिए समर्थित प्रदाता
• क्रेडेंशियल: उपयोगकर्ता क्रेडेंशियल और / या API कुंजी (as प्रासंगिक) अपने DNS प्रदाता API तक पहुंचने के लिए

समर्थित DNS प्रदाता: TXT DNS रिकॉर्ड को आपके DNS रेजिस्ट्रार के साथ बनाया जाना चाहिए। Confconsole लीवरेज निर्जलित जो बदले में लिवरेज में Dns-lexicon आवश्यक TXT DNS रिकॉर्ड बनाया गया है। इस तरह, आपके डोमेन को एक साथ पंजीकृत होना चाहिए। समर्थित प्रदाता.

क्रेडेंशियल: आवश्यक DNS रिकॉर्ड बनाने के लिए, अपने DNS प्रदाता (API के माध्यम से) तक पहुंच की आवश्यकता होती है। प्रत्येक प्रदाता की अलग-अलग आवश्यकताएं होती हैं, इसलिए कृपया परामर्श करें। Dns-lexicon docsउस पृष्ठ पर, अपने प्रदाता को ढूंढें और लिंक पर क्लिक करें। उस पृष्ठ के प्रासंगिक अनुभाग पर आपको लेना चाहिए। प्रासंगिक फ़ील्ड को डॉट पॉइंट के रूप में प्रारूपित किया जाता है, जिसमें एक मोनोस्पेस फ़ॉन्ट, रंगीन नारंगी में उल्लेखित कुंजी है, जिसके बाद स्पष्टीकरण होता है।

नोट करें कि config फ़ाइल में टिप्पणियां हो सकती हैं (एक '#' उपसर्ग से शुरू होने वाली रेखाएं) जिसे नजरअंदाज कर दिया जाएगा। नीचे कुछ config उदाहरण देखें:

AWS रूट53: (लेक्सिकॉन डॉक)

# AWS Route53 example
auth_access_key: YOUR_AWS_ACCESS_KEY
auth_access_secret: YOUR_AWS_ACCESS_SECRET
private_zone: False # generally you'll always want public zone
zone_id: YOUR_ZONE_ID

क्लाउडफ्लेयर: (लेक्सिकॉन डॉक)

# Cloudflare example 1 - using global api key
auth_username: YOUR_CF_USERNAME
auth_token: YOUR_CF_API_TOKEN

या

# Cloudflare example 2 - using unscoped API token
auth_token: YOUR_CF_UNSCOPED_API_TOKEN

या

# Cloudflare example 3 - using scoped API token
auth_token: YOUR_CF_SCOPED_API_TOKEN
zone_id: YOUR_CF_ZONE_ID

अन्य DNS प्रदाताओं के लिए, कृपया प्रासंगिक डॉक्स से परामर्श करें, सूची में अपने प्रदाता पर क्लिक करके, शीर्ष पर सूची में क्लिक करें। DNS Lexicon प्रदाता डॉक्टर पेज.

विशेष नोट फिर वाइल्डकार्ड प्रमाणपत्र

कृपया ध्यान दें कि एक जनरेट करना वाइल्डकार्ड प्रमाणपत्र DNS-01 चुनौती विधि का उपयोग करते समय ही उपलब्ध है।

एक वाइल्डकार्ड प्रमाणपत्र, एक विशेष प्रमाण पत्र है जो एक डोमेन के लिए उत्पन्न होता है जो एक एस्टरिसक के साथ शुरू होता है: '*', उदाहरण के लिए '*.example.com'। यह विशेष प्रमाण पत्र जो किसी भी उप डोमेन (साथ सीमा) से मेल खाता है। '*.example.com' डोमेन के साथ साइटों को कवर करेगा जैसे कि 'www.example.com', 'blog.example.com' और 'docs.example.com'। हालांकि, वही Cert उप डोमेन के साथ काम नहीं करेगा, उदाहरण के लिए। एक '*.example.com' प्रमाण पत्र 'www.docs.example.com' के साथ काम नहीं करेगा। 'www.docs.example.com' के लिए एक वाइल्डकार्ड Cert के साथ काम करने के लिए, आपको '*.docs.example.com' के लिए एक Cert प्राप्त करने की आवश्यकता होगी।

एक ही समय में विशिष्ट उप डोमेन को पंजीकृत करना संभव है क्योंकि एक वाइल्डकार्ड डोमेन को पंजीकृत करना संभव है, हालांकि, वाइल्डकार्ड डोमेन पहले आना चाहिए। कई वाइल्डकार्ड डोमेन की भी अनुमति है।

इसके अलावा, जब एक वाइल्डकार्ड डोमेन को पंजीकृत किया जाता है, तो इसे एक उपनाम देने की जरूरत है। आप एक '>' के साथ डोमेन (s) को अलग करने के लिए ऑनलाइन निर्देश देखेंगे, इसके बाद आलियास होता है। यदि आप चाहें तो ऐसा कर सकते हैं, लेकिन Confconsole इसे अनदेखा करेगा और इसे अपने आप में उत्पन्न करेगा।

जब अलीेज़ का उपयोग डेहदारेटेड के साथ किया जाता है तो समर्थित अधिक उन्नत सुविधाओं को इसे स्टैंडअलोन का उपयोग करने की आवश्यकता होती है।

महत्वपूर्ण नोट: कृपया सुनिश्चित करें कि आपके पास DNS रेजिस्ट्रार जानकारी सही है। गलत प्रमाणीकरण विवरण Let's Encrypt चुनौतियों को विफल करने का कारण बन जाएगा (इसलिए आपको प्रमाणपत्र नहीं मिलेगा)। बार बार बार बार बार बार असफलता आपके सर्वर को आगे के प्रयासों से अवरुद्ध (एक सप्ताह के लिए) होने का कारण बन सकती है।

एक प्रमाण पत्र प्राप्त करना - दृश्यों के पीछे

इस प्रक्रिया के समान है:

• Confconsole Let's Encrypt प्लगइन डोमेन (और सबडोमेन) को लिखते हैं /etc/dehydrated/confconsole.domains.txt
• Confconsole कॉल निर्जलित-wrapper
• निर्जलित-wrapper बंदरगाह 80 पर सुनने वाले वेबसर्वर को रोकता है
• निर्जलित-wrapper चेक के लिए /etc/dehydrated/confconsole.config (config file); यदि यह मौजूद नहीं है तो यह डिफ़ॉल्ट फ़ाइल को से कॉपी करता है: /usr/share/confconsole/letsencrypt/dehydrated-confconsole.config
• निर्जलित-wrapper चेक के लिए /etc/dehydrated/confconsole.hook.sh (हुक लिपि); यदि यह मौजूद नहीं है, तो यह डिफ़ॉल्ट फ़ाइल को से कॉपी करता है: /usr/share/confconsole/letsencrypt/dehydrated-confconsole.hook.sh
• निर्जलित-wrapper चेक के लिए /etc/cron.daily/confconsole-dehydrated (Cron script); यदि यह मौजूद नहीं है, तो यह डिफ़ॉल्ट फ़ाइल को से कॉपी करता है: /usr/share/confconsole/letsencrypt/dehydrated-confconsole.cron
• निर्जलित-wrapper कॉल निर्जलित, गुजरना confconsole.config, confconsole.hook.sh & confconsole.domains.txt (सभी के भीतर संग्रहीत) /etc/dehydrated/)
• Dhydrated contact Let's Encrypt और चुनौती हो जाता है (आपको यह साबित करने के लिए कि आप डोमेन को नियंत्रित करते हैं)
• जब भी चुनौती की मेजबानी करते हैं, तो ऐड-वाटर अस्थायी रूप से वेब रूट को चुनौती (यानी 304 - अस्थायी रूप से स्थानांतरित) को छोड़कर सभी वेब यातायात को पुनर्निर्देशित करता है। एक सरल "मैन्टेंस के तहत" संदेश प्रदर्शित किया जाता है। एक कस्टम HTML पेज प्रदान करने के लिए, कृपया देखें उन्नत - कस्टम maintence संदेश नीचे।
• हुक स्क्रिप्ट के माध्यम से, निर्जलित ऐड-वाटर सर्वर (मिनिमलिस्ट पाइथन वेबसर्वर) का उपयोग करके Let's Encrypt चुनौतियों का कार्य करता है।
• जब किया जाता है, तो ऐड-वाटर को मार दिया जाता है (विषयक लिपि के माध्यम से)
• निर्जलित लिखने के लिए प्रमाण पत्र /etc/ssl/private/cert.pem (हैंडल के माध्यम से); निर्जलित द्वारा उत्पन्न मूल certs में बने रहे /var/lib/dehydrated/certs/DOMAIN
• निर्जलित हाथ वापस निर्जलित-लपेटी करने के लिए
• निर्जलित-रैपर वेबसर्वर को पुनरारंभ करता है
• निर्जलित-रैपर पुनरारंभ करने वाला स्टनल (so Webmin & Webshell भी नए Cert का उपयोग करते हैं)
• Derhyd-wrapper हाथ वापस confconsole करने के लिए

Cron job विवरण

क्रोन नौकरी डिफ़ॉल्ट प्रमाण पत्र की समाप्ति तिथि की जांच करता है ()/etc/ssl/private/cert.pem) और अगर यह 30 दिनों या उससे कम के भीतर समाप्त हो जाएगा तो यह निर्जलित-wrapper (--force स्विच का उपयोग करके) चलाता है।

उन्नत - कस्टम maintence संदेश

जैसा कि उल्लेखित है, जबकि यह चुनौतियों की सेवा कर रहा है, ऐड-वाटर वेब रूट के लिए अन्य सभी यूआरएल को रीडायरेक्ट करेगा। डिफ़ॉल्ट रूप से यह एक बुनियादी index.html फ़ाइल के माध्यम से एक सरल "रखरखाव" संदेश प्रदर्शित करेगा।

यदि आप एक कस्टम संदेश प्रदर्शित करना चाहते हैं, तो आप डिफ़ॉल्ट रूप से कॉपी करने के लिए /var/lib/confconsole/letsencrypt/. E.g. में एक कस्टम इंडेक्स.html फ़ाइल जोड़ सकते हैं और फिर इसे ट्वीक कर सकते हैं:

mkdir -p /var/lib/confconsole/letsencrypt/
cp /usr/share/confconsole/letsencrypt/index.html \
  /var/lib/confconsole/letsencrypt/index.html

ऐड-वाटर /var/lib/confconsole/letsencrypt/index.html की सेवा करेगा यदि यह मौजूद है, या अन्यथा डिफ़ॉल्ट में वापस आ जाएगा।

ध्यान दें: कस्टम फ़ाइल का नाम होना चाहिए English, हिन्दी, Українська, Français... और केवल मान्य HTML (और CSS) शामिल हैं। PHP या अन्य सर्वर साइड भाषाओं का समर्थन नहीं किया जाता है। एम्बेडेड (i.e. "inline") जावास्क्रिप्ट को भी समर्थन दिया जाता है क्योंकि यह संसाधित ग्राहक पक्ष है।

उन्नत - एकाधिक डोमेन नामों के साथ उपयोग

इंटरैक्टिव Confconsole प्लगइन केवल 4 उप डोमेन तक एक एकल डोमेन का समर्थन करता है। हालांकि, निर्जलित-wrapper एकाधिक रूट डोमेन को संभाल सकता है, साथ ही एकाधिक उप डोमेन भी कर सकता है। समर्थन करने के लिए कि आपको कई स्थानों में मैन्युअल रूप से कॉन्फ़िगरेशन समायोजन करना होगा:

• अतिरिक्त डोमेन जोड़ने के लिए /etc/dehydrated/confconsole.domains.txt
  • यह सुनिश्चित करने के लिए कि प्रत्येक लाइन बेस डोमेन के साथ शुरू होती है, इसके बाद किसी भी उप डोमेन की एक अलग सूची होती है।
  • WARNING: यदि आप confconsole के Let's Encrypt प्लगइन को फिर से रन करते हैं, तो आपके कस्टम अतिरिक्त डोमेन को हटा दिया जाएगा!
• अपने वेबसर्वर वर्चुअल होस्ट को प्रासंगिक प्रमाणपत्रों का उपयोग करने के लिए समायोजित करें /var/lib/dehydrated/certs/DOMAINप्रत्येक डोमेन के पास यह स्वयं का उपनिर्देश होगा /var/lib/dehydrated/certs/.
• डिफ़ॉल्ट रूप से, अंतिम डोमेन (और कोई उप डोमेन) कॉन्फ़िगर किया गया है, वह होगा जो Webmin और Webshell (और व्यवस्थापक, यदि यह शामिल है) के लिए काम करेगा। इस व्यवहार को बदलने के लिए, आप हुक स्क्रिप्ट को समायोजित कर सकते हैं, या बस अपने डोमेन के आदेश को व्यवस्थित कर सकते हैं और वह डाल सकते हैं जिसे आप Webmin और Webshell चाहते हैं, जो पिछले, से उपलब्ध है।
• ध्यान दें: केवल क्रोन नौकरी की समाप्ति की जाँच करता है /etc/ssl/private/cert.pemयदि आप हुक स्क्रिप्ट को अब अद्यतन करने के लिए समायोजित करते हैं तो /etc/ssl/private/cert.pem, आपको क्रोन नौकरी को समायोजित करने की भी आवश्यकता होगी ताकि आप जिस प्रमाण पत्र को अद्यतन कर रहे हों, उसे निकालने की जांच कर सकें। ऐसा करने में विफलता दैनिक प्रमाणपत्र अद्यतन में परिणाम होगा, जो आपके सर्वर को अस्थायी रूप से लेफ्ट्स एनक्रिप्ट सर्वर तक पहुंचने से अवरुद्ध कर सकता है।