SSL ના જારીને સ્વચાલિત કરવા તરફ

ઘણી વાર અમારે SSL પ્રમાણપત્રો સાથે કામ કરવું પડે છે. ચાલો પ્રમાણપત્ર બનાવવા અને ઇન્સ્ટોલ કરવાની પ્રક્રિયાને યાદ કરીએ (મોટાભાગના સામાન્ય કિસ્સામાં).

• પ્રદાતા શોધો (એક સાઇટ જ્યાં અમે SSL ખરીદી શકીએ).
• CSR જનરેટ કરો.
• તેને પ્રદાતાને મોકલો.
• ડોમેન માલિકી ચકાસો.
• પ્રમાણપત્ર મેળવો.
• પ્રમાણપત્રને ઇચ્છિત ફોર્મમાં કન્વર્ટ કરો (વૈકલ્પિક). ઉદાહરણ તરીકે, pem થી PKCS #12.
• વેબ સર્વર પર પ્રમાણપત્ર ઇન્સ્ટોલ કરો.

પ્રમાણમાં ઝડપી, સરળ અને સમજી શકાય તેવું. જો અમારી પાસે મહત્તમ એક ડઝન પ્રોજેક્ટ્સ હોય તો આ વિકલ્પ એકદમ યોગ્ય છે. જો તેમાંના વધુ હોય અને ઓછામાં ઓછા ત્રણ વાતાવરણ હોય તો શું? ઉત્તમ વિકાસ - સ્ટેજીંગ - ઉત્પાદન. આ કિસ્સામાં, આ પ્રક્રિયાને સ્વચાલિત કરવા વિશે વિચારવું યોગ્ય છે. હું સમસ્યામાં થોડું ઊંડે જવાનો અને એક ઉકેલ શોધવાનો પ્રસ્તાવ મૂકું છું જે પ્રમાણપત્રો બનાવવા અને જાળવવા પાછળ ખર્ચવામાં આવતા સમયને વધુ ઓછો કરશે. લેખમાં સમસ્યાનું વિશ્લેષણ અને પુનરાવર્તન માટે એક નાની માર્ગદર્શિકા હશે.

હું અગાઉથી આરક્ષણ કરીશ: અમારી કંપનીની મુખ્ય વિશેષતા .net છે, અને તે મુજબ, IIS અને અન્ય સ્ક્રુ-સંબંધિત છે. તેથી, ACME ક્લાયંટ અને તેના માટેની તમામ ક્રિયાઓ પણ વિન્ડોઝના ઉપયોગના સંદર્ભમાં વર્ણવવામાં આવશે.

જેમના માટે તે સંબંધિત છે અને કેટલાક પૃષ્ઠભૂમિ ડેટા

લેખક દ્વારા રજૂ કરાયેલ કંપની કે. URL (ઉદાહરણ તરીકે): company.tld

પ્રોજેક્ટ X એ અમારા પ્રોજેક્ટ્સમાંથી એક છે, જેમાં હું નિષ્કર્ષ પર આવ્યો છું કે પ્રમાણપત્રો સાથે કામ કરતી વખતે અમારે મહત્તમ સમય બચત તરફ આગળ વધવાની જરૂર છે. આ પ્રોજેક્ટમાં ચાર વાતાવરણ છે: ડેવ, ટેસ્ટ, સ્ટેજીંગ અને પ્રોડક્શન. દેવ અને પરીક્ષણ અમારી બાજુમાં છે, સ્ટેજિંગ અને ઉત્પાદન ક્લાયંટ બાજુ પર છે.

પ્રોજેક્ટની વિશેષતા એ છે કે તેમાં મોટી સંખ્યામાં મોડ્યુલો છે જે સબડોમેન્સ તરીકે ઉપલબ્ધ છે.

એટલે કે, અમારી પાસે નીચેનું ચિત્ર છે:

દેવ
ટેસ્ટ
સ્ટેજીંગ
ઉત્પાદન

projectX.dev.company.tld
projectX.test.company.tld
staging.projectX.tld
projectX.tld

module1.projectX.dev.company.tld
module1.projectX.test.company.tld
module1.staging.projectX.tld
module1.projectX.tld

module2.projectX.dev.company.tld
module2.projectX.test.company.tld
module2.staging.projectX.tld
module2.projectX.tld

...
...
...
...

moduleN.projectX.dev.company.tld
moduleN.projectX.test.company.tld
moduleN.staging.projectX.tld
moduleN.projectX.tld

ઉત્પાદન માટે, ખરીદેલ વાઇલ્ડકાર્ડ પ્રમાણપત્રનો ઉપયોગ કરવામાં આવે છે, અહીં કોઈ પ્રશ્નો નથી. પરંતુ તે માત્ર સબડોમેનના પ્રથમ સ્તરને આવરી લે છે. તદનુસાર, જો *.projectX.tld માટે પ્રમાણપત્ર હોય, તો તે staging.projectX.tld માટે કામ કરશે, પરંતુ module1.staging.projectX.tld માટે નહીં. હું અલગ ખરીદવા માંગતો નથી.

અને આ ફક્ત એક કંપનીના એક પ્રોજેક્ટના ઉદાહરણ પર છે. અને પ્રોજેક્ટ, અલબત્ત, એકલો નથી.

આ સમસ્યાનો સામનો કરવાના સામાન્ય કારણો આના જેવા દેખાય છે:

• તાજેતરમાં Google એ SSL પ્રમાણપત્રોની મહત્તમ માન્યતા અવધિ ઘટાડવાનો પ્રસ્તાવ મૂક્યો છે. તમામ પરિણામો સાથે.
• પ્રોજેક્ટ્સ અને સમગ્ર કંપનીની આંતરિક જરૂરિયાતો માટે SSL જારી કરવાની અને જાળવવાની પ્રક્રિયાને સરળ બનાવવા માટે.
• પ્રમાણપત્ર રેકોર્ડ્સનું કેન્દ્રિય સંગ્રહ, જે DNS અને અનુગામી સ્વચાલિત નવીકરણનો ઉપયોગ કરીને ડોમેન માન્યતાની સમસ્યાને આંશિક રીતે હલ કરે છે, અને ક્લાયંટ ટ્રસ્ટના મુદ્દાને પણ હલ કરે છે. તેમ છતાં, CNAME એ તૃતીય-પક્ષ સંસાધન કરતાં ભાગીદાર/એક્ઝિક્યુટર કંપનીના સર્વર પર વધુ વિશ્વાસપાત્ર છે.
• ઠીક છે, છેવટે, આ કિસ્સામાં, વાક્ય "ન હોવા કરતાં હોવું વધુ સારું છે" સંપૂર્ણપણે બંધબેસે છે.

SSL પ્રદાતા અને પ્રિપેરેટરી સ્ટેપ્સ પસંદ કરી રહ્યા છીએ

મફત SSL પ્રમાણપત્રો માટે ઉપલબ્ધ વિકલ્પોમાંથી, ક્લાઉડફ્લેર અને લેટસેનક્રિપ્ટને ધ્યાનમાં લેવામાં આવ્યા હતા. આ માટે DNS (અને કેટલાક અન્ય પ્રોજેક્ટ્સ) ક્લાઉડફ્લેર દ્વારા હોસ્ટ કરવામાં આવે છે, પરંતુ હું તેમના પ્રમાણપત્રોનો ઉપયોગ કરવાનો ચાહક નથી. તેથી, letsencrypt નો ઉપયોગ કરવાનો નિર્ણય લેવામાં આવ્યો.
વાઇલ્ડકાર્ડ SSL પ્રમાણપત્ર બનાવવા માટે, તમારે ડોમેનની માલિકી ચકાસવાની જરૂર છે. આ પ્રક્રિયામાં પ્રમાણપત્ર જારી કરતી વખતે તેની અનુગામી ચકાસણી સાથે કેટલાક DNS રેકોર્ડ (TXT અથવા CNAME) બનાવવાનો સમાવેશ થાય છે. Linux પાસે એક ઉપયોગિતા છે - પ્રમાણપત્ર, જે તમને આંશિક રીતે (અથવા કેટલાક DNS પ્રદાતાઓ માટે) આ પ્રક્રિયાને સ્વચાલિત કરવાની મંજૂરી આપે છે. માંથી સમાન વિન્ડોઝ માટે મળી અને પરીક્ષણ કર્યું ACME ક્લાયન્ટ્સ માટેના વિકલ્પો જેના પર મેં સેટલ કર્યું છે WinACME.

અને ડોમેન માટે રેકોર્ડ બનાવવામાં આવ્યો છે, ચાલો પ્રમાણપત્ર બનાવવા માટે આગળ વધીએ:

અમને છેલ્લા નિષ્કર્ષમાં રસ છે, એટલે કે, વાઇલ્ડકાર્ડ પ્રમાણપત્ર જારી કરવા માટે ડોમેન માલિકી ચકાસવા માટેના ઉપલબ્ધ વિકલ્પો:

1. DNS રેકોર્ડ્સ મેન્યુઅલી બનાવવું (સ્વચાલિત અપડેટ સપોર્ટેડ નથી)
2. Acme-dns સર્વરનો ઉપયોગ કરીને DNS રેકોર્ડ બનાવવું (વધુ વિગતો માટે, જુઓ અહીં.
3. તમારી પોતાની સ્ક્રિપ્ટનો ઉપયોગ કરીને DNS રેકોર્ડ્સ બનાવવા (certbot માટે ક્લાઉડફ્લેર પ્લગઇન જેવું જ).

પ્રથમ નજરમાં, ત્રીજો મુદ્દો એકદમ યોગ્ય છે, પરંતુ જો DNS પ્રદાતા આ કાર્યક્ષમતાને સમર્થન આપતું નથી? અને અમને સામાન્ય કેસની જરૂર છે. અને સામાન્ય કેસ CNAME રેકોર્ડ્સ છે, દરેક જણ તેમને સમર્થન આપે છે. તેથી, અમે બિંદુ 2 પર અટકીએ છીએ, અને અમારા ACME-DNS સર્વરને ગોઠવવા જઈએ છીએ.

ACME-DNS સર્વર સેટઅપ અને પ્રમાણપત્ર જારી કરવાની પ્રક્રિયા

ઉદાહરણ તરીકે, મેં 2nd.pp.ua ડોમેન બનાવ્યું છે, અને હું ભવિષ્યમાં તેનો ઉપયોગ કરીશ.

ફરજિયાત જરૂરિયાત સર્વરના યોગ્ય સંચાલન માટે તેના ડોમેન માટે NS અને A રેકોર્ડ બનાવવું છે. અને પ્રથમ અપ્રિય ક્ષણ કે જેનો મેં સામનો કર્યો તે એ છે કે ક્લાઉડફ્લેર (ઓછામાં ઓછું ફ્રી મોડમાં) તમને એક જ હોસ્ટ માટે એક સાથે NS અને A રેકોર્ડ બનાવવાની મંજૂરી આપતું નથી. એવું નથી કે આ એક સમસ્યા છે, પરંતુ બંધનમાં તે શક્ય છે. સપોર્ટે જવાબ આપ્યો કે તેમની પેનલ આ કરવાની મંજૂરી આપતી નથી. કોઈ વાંધો નથી, ચાલો બે એન્ટ્રી બનાવીએ:

acmens.2nd.pp.ua. IN A 35.237.128.147
acme.2nd.pp.ua. IN NS acmens.2nd.pp.ua.

આ તબક્કે, આપણે યજમાનને ઉકેલવું જોઈએ acmens.2nd.pp.ua.

$ ping acmens.2nd.pp.ua
PING acmens.2nd.pp.ua (35.237.128.147) 56(84) bytes of data

પરંતુ acme.2nd.pp.ua ઉકેલશે નહીં, કારણ કે DNS સર્વર કે જે તેને સેવા આપે છે તે હજી ચાલી રહ્યું નથી.

રેકોર્ડ્સ બનાવવામાં આવ્યા છે, ચાલો ACME-DNS સર્વરને સેટ કરવા અને શરૂ કરવા તરફ આગળ વધીએ. હું તેને ઉબુન્ટુ સર્વર પર જીવીશ ગોદી કન્ટેનર, પરંતુ તમે ગોલાંગ હોય ત્યાં તેને ચલાવી શકો છો. વિન્ડોઝ પણ સારું છે, પરંતુ હું હજી પણ Linux સર્વરને પસંદ કરું છું.

જરૂરી ડિરેક્ટરીઓ અને ફાઇલો બનાવો:

$ mkdir config
$ mkdir data
$ touch config/config.cfg

ચાલો તમારા મનપસંદ ટેક્સ્ટ એડિટર સાથે vim નો ઉપયોગ કરીએ અને નમૂનાને config.cfg માં પેસ્ટ કરીએ રૂપરેખાંકન.

સફળ કાર્ય માટે, સામાન્ય અને એપીઆઈ વિભાગોને સુધારવા માટે તે પૂરતું છે:

[general]
listen = "0.0.0.0:53"
protocol = "both"
domain = "acme.2nd.pp.ua"
nsname = "acmens.2nd.pp.ua" 
nsadmin = "admin.2nd.pp.ua" 
records = 
    "acme.2nd.pp.ua. A 35.237.128.147",
    "acme.2nd.pp.ua. NS acmens.2nd.pp.ua.",                                                                                                                                                                                                  ]
...
[api]
...
tls = "letsencrypt"
…

ઉપરાંત, વૈકલ્પિક રીતે, સેવાની મુખ્ય ડિરેક્ટરીમાં ડોકર-કંપોઝ ફાઇલ બનાવો:

version: '3.7'
services:
  acmedns:
    image: joohoi/acme-dns:latest
    ports:
      - "443:443"
      - "53:53"
      - "53:53/udp"
      - "80:80"
    volumes:
      - ./config:/etc/acme-dns:ro
      - ./data:/var/lib/acme-dns

તૈયાર છે. તમે દોડી શકો છો.

$ docker-compose up -d

આ તબક્કે, યજમાનને ઉકેલવાનું શરૂ કરવું જોઈએ acme.2nd.pp.ua, અને 404 પર દેખાય છે https://acme.2nd.pp.ua

$ ping acme.2nd.pp.ua
PING acme.2nd.pp.ua (35.237.128.147) 56(84) bytes of data.

$ curl https://acme.2nd.pp.ua
404 page not found

જો આ દેખાતું નથી - docker logs -f <container_name> મદદ કરવા માટે, સારું, લોગ ખૂબ વાંચી શકાય તેવા છે.

અમે પ્રમાણપત્ર બનાવવાનું શરૂ કરી શકીએ છીએ. એડમિનિસ્ટ્રેટર તરીકે પાવરશેલ ખોલો અને winacme ચલાવો. અમને ચૂંટણીમાં રસ છે:

• M: નવું પ્રમાણપત્ર બનાવો (સંપૂર્ણ વિકલ્પો)
• 2: મેન્યુઅલ ઇનપુટ
• 2: [dns-01] acme-dns સાથે ચકાસણી રેકોર્ડ બનાવો (https://github.com/joohoi/acme-dns)
• જ્યારે ACME-DNS સર્વરની લિંક વિશે પૂછવામાં આવે, ત્યારે જવાબમાં બનાવેલ સર્વર (https)નું URL દાખલ કરો. acme-dns સર્વરનું URL: https://acme.2nd.pp.ua

જવાબમાં, ક્લાયંટ એક રેકોર્ડ જારી કરે છે જેને હાલના DNS સર્વરમાં ઉમેરવાની જરૂર છે (વન-ટાઇમ પ્રક્રિયા):

[INFO] Creating new acme-dns registration for domain 1nd.pp.ua

Domain:              1nd.pp.ua
Record:               _acme-challenge.1nd.pp.ua
Type:                   CNAME
Content:              c82a88a5-499f-464f-96e4-be7f606a3b47.acme.2nd.pp.ua.
Note:                   Some DNS control panels add the final dot automatically.
                           Only one is required.

અમે જરૂરી એન્ટ્રી બનાવીએ છીએ અને ખાતરી કરીએ છીએ કે તે યોગ્ય રીતે બનાવવામાં આવી હતી:

$ dig CNAME _acme-challenge.1nd.pp.ua +short
c82a88a5-499f-464f-96e4-be7f606a3b47.acme.2nd.pp.ua.

અમે પુષ્ટિ કરીએ છીએ કે અમે winacme માં જરૂરી એન્ટ્રી બનાવી છે, અને પ્રમાણપત્ર બનાવવાની પ્રક્રિયા ચાલુ રાખીએ છીએ:

ક્લાયન્ટ તરીકે certbot નો ઉપયોગ કેવી રીતે કરવો તે વર્ણવેલ છે અહીં.

આ પ્રમાણપત્ર બનાવવાની પ્રક્રિયા પૂર્ણ કરે છે, તમે તેને વેબ સર્વર પર ઇન્સ્ટોલ કરી શકો છો અને તેનો ઉપયોગ કરી શકો છો. જો, પ્રમાણપત્ર બનાવતી વખતે, તમે શેડ્યૂલરમાં કાર્ય પણ બનાવો છો, તો ભવિષ્યમાં પ્રમાણપત્રને અપડેટ કરવાની પ્રક્રિયા આપમેળે થશે.

સોર્સ: www.habr.com