ໄປສູ່ອັດຕະໂນມັດຂອງການອອກ SSL

ເລື້ອຍໆພວກເຮົາຕ້ອງເຮັດວຽກກັບໃບຢັ້ງຢືນ SSL. ຂໍໃຫ້ຈື່ຈໍາຂະບວນການສ້າງແລະຕິດຕັ້ງໃບຢັ້ງຢືນ (ໃນກໍລະນີທົ່ວໄປສໍາລັບສ່ວນໃຫຍ່).

• ຊອກຫາຜູ້ໃຫ້ບໍລິການ (ເວັບໄຊທ໌ທີ່ພວກເຮົາສາມາດຊື້ SSL).
• ສ້າງ CSR.
• ສົ່ງໃຫ້ຜູ້ໃຫ້ບໍລິການຂອງທ່ານ.
• ຢືນຢັນຄວາມເປັນເຈົ້າຂອງໂດເມນ.
• ໄດ້ຮັບໃບຢັ້ງຢືນ.
• ປ່ຽນໃບຮັບຮອງເປັນແບບຟອມທີ່ຕ້ອງການ (ທາງເລືອກ). ຕົວຢ່າງ, ຈາກ pem ກັບ PKCS #12.
• ຕິດຕັ້ງໃບຢັ້ງຢືນຢູ່ໃນເວັບເຊີບເວີ.

ຂ້ອນຂ້າງໄວ, ບໍ່ສັບສົນ ແລະເຂົ້າໃຈໄດ້. ທາງເລືອກນີ້ແມ່ນຂ້ອນຂ້າງເຫມາະສົມຖ້າຫາກວ່າພວກເຮົາມີສູງສຸດຂອງສິບໂຄງການ. ຈະເປັນແນວໃດຖ້າພວກເຂົາມີຫຼາຍກວ່ານັ້ນ, ແລະພວກເຂົາມີຢ່າງຫນ້ອຍສາມສະພາບແວດລ້ອມ? ຄລາສສິກ dev - staging - ການຜະລິດ. ໃນກໍລະນີນີ້, ມັນເປັນມູນຄ່າທີ່ຈະຄິດກ່ຽວກັບການອັດຕະໂນມັດຂະບວນການນີ້. ຂ້າພະເຈົ້າສະເຫນີໃຫ້ delve ເລັກນ້ອຍເຂົ້າໄປໃນບັນຫາແລະຊອກຫາວິທີແກ້ໄຂທີ່ຈະເພີ່ມເຕີມຫຼຸດຜ່ອນເວລາທີ່ໃຊ້ເວລາໃນການສ້າງແລະຮັກສາໃບຢັ້ງຢືນ. ບົດຄວາມຈະປະກອບດ້ວຍການວິເຄາະບັນຫາແລະຄໍາແນະນໍາຂະຫນາດນ້ອຍສໍາລັບການຄ້າງຫ້ອງ.

ໃຫ້ຂ້ອຍຈອງລ່ວງຫນ້າ: ຄວາມຊ່ຽວຊານຕົ້ນຕໍຂອງບໍລິສັດຂອງພວກເຮົາແມ່ນ .net, ແລະ, ຕາມຄວາມເຫມາະສົມ, IIS ແລະຜະລິດຕະພັນອື່ນໆທີ່ກ່ຽວຂ້ອງກັບ Windows. ດັ່ງນັ້ນ, ລູກຄ້າ ACME ແລະການປະຕິບັດທັງຫມົດສໍາລັບມັນຍັງຈະໄດ້ຮັບການອະທິບາຍຈາກທັດສະນະຂອງການນໍາໃຊ້ Windows.

ສໍາລັບໃຜນີ້ມີຄວາມກ່ຽວຂ້ອງແລະຂໍ້ມູນເບື້ອງຕົ້ນບາງຢ່າງ

ບໍລິສັດ K ເປັນຕົວແທນໂດຍຜູ້ຂຽນ. URL (ຕົວຢ່າງ): company.tld

ໂຄງການ X ແມ່ນຫນຶ່ງໃນໂຄງການຂອງພວກເຮົາ, ໃນຂະນະທີ່ເຮັດວຽກທີ່ຂ້ອຍໄດ້ສະຫຼຸບວ່າພວກເຮົາຍັງຈໍາເປັນຕ້ອງກ້າວໄປສູ່ການປະຫຍັດເວລາສູງສຸດໃນເວລາທີ່ເຮັດວຽກກັບໃບຢັ້ງຢືນ. ໂຄງການນີ້ມີສີ່ສະພາບແວດລ້ອມ: dev, ການທົດສອບ, staging ແລະການຜະລິດ. Dev ແລະການທົດສອບແມ່ນຢູ່ຂ້າງພວກເຮົາ, ຂັ້ນຕອນແລະການຜະລິດແມ່ນຢູ່ໃນຝ່າຍລູກຄ້າ.

ລັກສະນະພິເສດຂອງໂຄງການແມ່ນວ່າມັນມີຈໍານວນໂມດູນຈໍານວນຫລາຍທີ່ມີຢູ່ເປັນໂດເມນຍ່ອຍ.

ນັ້ນແມ່ນ, ພວກເຮົາມີຮູບພາບຕໍ່ໄປນີ້:

Dev
ການທົດສອບ
Staging
ການຜະລິດ

projectX.dev.company.tld
projectX.test.company.tld
staging.projectX.tld
projectX.tld

module1.projectX.dev.company.tld
module1.projectX.test.company.tld
module1.staging.projectX.tld
module1.projectX.tld

module2.projectX.dev.company.tld
module2.projectX.test.company.tld
module2.staging.projectX.tld
module2.projectX.tld

...
...
...
...

moduleN.projectX.dev.company.tld
moduleN.projectX.test.company.tld
moduleN.staging.projectX.tld
moduleN.projectX.tld

ສໍາລັບການຜະລິດ, ໃບຢັ້ງຢືນທີ່ຊື້ມາຖືກນໍາໃຊ້, ບໍ່ມີຄໍາຖາມໃດໆເກີດຂື້ນຢູ່ທີ່ນີ້. ແຕ່ມັນກວມເອົາພຽງແຕ່ລະດັບທໍາອິດຂອງໂດເມນຍ່ອຍ. ດັ່ງນັ້ນ, ຖ້າມີໃບຢັ້ງຢືນສໍາລັບ *.projectX.tld, ມັນຈະເຮັດວຽກສໍາລັບ staging.projectX.tld, ແຕ່ບໍ່ແມ່ນສໍາລັບ module1.staging.projectX.tld. ແຕ່ບາງທີຂ້ອຍບໍ່ຕ້ອງການຊື້ແຍກຕ່າງຫາກ.

ແລະນີ້ແມ່ນພຽງແຕ່ອີງໃສ່ຕົວຢ່າງຂອງໂຄງການຫນຶ່ງຂອງບໍລິສັດຫນຶ່ງ. ແລະ, ແນ່ນອນ, ມີຫຼາຍກວ່າຫນຶ່ງໂຄງການ.

ເຫດຜົນທົ່ວໄປສໍາລັບທຸກຄົນທີ່ຈະແກ້ໄຂບັນຫານີ້ເບິ່ງຄືວ່າ:

• ເມື່ອບໍ່ດົນມານີ້ Google ສະເໜີໃຫ້ຫຼຸດໄລຍະເວລາສູງສຸດຂອງໃບຢັ້ງຢືນ SSL. ມີຜົນສະທ້ອນທັງຫມົດ.
• ອໍານວຍຄວາມສະດວກໃນຂະບວນການອອກແລະຮັກສາ SSL ສໍາລັບຄວາມຕ້ອງການພາຍໃນຂອງໂຄງການແລະບໍລິສັດທັງຫມົດ.
• ການເກັບຮັກສາສູນກາງຂອງບັນທຶກໃບຢັ້ງຢືນ, ເຊິ່ງບາງສ່ວນແກ້ໄຂບັນຫາຂອງການກວດສອບໂດເມນໂດຍໃຊ້ DNS ແລະການຕໍ່ອາຍຸອັດຕະໂນມັດຕໍ່ມາ, ແລະຍັງແກ້ໄຂບັນຫາຄວາມໄວ້ວາງໃຈຂອງລູກຄ້າ. ຢ່າງໃດກໍຕາມ, CNAME ຢູ່ໃນເຊີບເວີຂອງບໍລິສັດຄູ່ຮ່ວມງານ / ຜູ້ຜະລິດແມ່ນມີຄວາມຫນ້າເຊື່ອຖືຫຼາຍກ່ວາໃນຊັບພະຍາກອນຂອງພາກສ່ວນທີສາມ.
• ແລ້ວ, ສຸດທ້າຍ, ໃນກໍລະນີນີ້ປະໂຫຍກທີ່ວ່າ "ມັນດີກວ່າທີ່ຈະມີຫຼາຍກ່ວາບໍ່ມີ" ເຫມາະຢ່າງສົມບູນ.

ການເລືອກຜູ້ໃຫ້ບໍລິການ SSL ແລະຂັ້ນຕອນການກະກຽມ

ໃນບັນດາທາງເລືອກທີ່ມີຢູ່ສໍາລັບໃບຢັ້ງຢືນ SSL ຟຣີ, cloudflare ແລະ letsencrypt ຖືກພິຈາລະນາ. DNS ສໍາລັບການນີ້ (ແລະບາງໂຄງການອື່ນໆ) ແມ່ນໂຮດໂດຍ cloudflare, ແຕ່ຂ້ອຍບໍ່ໄດ້ເປັນແຟນຂອງການນໍາໃຊ້ໃບຢັ້ງຢືນຂອງພວກເຂົາ. ດັ່ງນັ້ນ, ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະໃຊ້ letsencrypt.
ເພື່ອສ້າງໃບຢັ້ງຢືນ SSL ທີ່ເປັນສັນຍາລັກ, ທ່ານຈໍາເປັນຕ້ອງຢືນຢັນການເປັນເຈົ້າຂອງໂດເມນ. ຂັ້ນຕອນນີ້ກ່ຽວຂ້ອງກັບການສ້າງບັນທຶກ DNS ບາງອັນ (TXT ຫຼື CNAME), ແລະຫຼັງຈາກນັ້ນຢືນຢັນມັນໃນເວລາອອກໃບຢັ້ງຢືນ. Linux ມີ​ຜົນ​ປະ​ໂຫຍດ - ໃບຢັ້ງຢືນ, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານບາງສ່ວນ (ຫຼືຢ່າງສົມບູນສໍາລັບບາງຜູ້ໃຫ້ບໍລິການ DNS) ອັດຕະໂນມັດຂະບວນການນີ້. ສໍາລັບ Windows ຈາກ ພົບ​ແລະ​ກວດ​ສອບ​ ທາງເລືອກຂອງລູກຄ້າ ACME ຂ້າພະເຈົ້າໄດ້ຕົກລົງ WinACME.

ແລະບັນທຶກສໍາລັບໂດເມນໄດ້ຖືກສ້າງຂື້ນ, ໃຫ້ກ້າວໄປສູ່ການສ້າງໃບຢັ້ງຢືນ:

ພວກເຮົາມີຄວາມສົນໃຈໃນບົດສະຫຼຸບສຸດທ້າຍ, ຄື, ທາງເລືອກທີ່ມີຢູ່ສໍາລັບການຢືນຢັນການເປັນເຈົ້າຂອງໂດເມນສໍາລັບການອອກໃບຢັ້ງຢືນ wildcard:

1. ສ້າງບັນທຶກ DNS ດ້ວຍຕົນເອງ (ບໍ່ຮອງຮັບການອັບເດດອັດຕະໂນມັດ)
2. ການສ້າງບັນທຶກ DNS ໂດຍໃຊ້ເຄື່ອງແມ່ຂ່າຍ acme-dns (ທ່ານສາມາດອ່ານເພີ່ມເຕີມກ່ຽວກັບ ທີ່ນີ້.
3. ການສ້າງບັນທຶກ DNS ໂດຍໃຊ້ສະຄິບຂອງທ່ານເອງ (ຄ້າຍກັບ plugin cloudflare ສໍາລັບ certbot).

ຢູ່ glance ທໍາອິດ, ຈຸດທີສາມແມ່ນຂ້ອນຂ້າງເຫມາະສົມ, ແຕ່ວ່າຖ້າຫາກວ່າຜູ້ໃຫ້ບໍລິການ DNS ບໍ່ສະຫນັບສະຫນູນການເຮັດວຽກນີ້? ແຕ່ພວກເຮົາຕ້ອງການກໍລະນີທົ່ວໄປ. ແຕ່ກໍລະນີທົ່ວໄປແມ່ນບັນທຶກ CNAME, ເພາະວ່າທຸກຄົນສະຫນັບສະຫນູນພວກເຂົາ. ດັ່ງນັ້ນ, ພວກເຮົາຢຸດຢູ່ທີ່ຈຸດ 2 ແລະໄປທີ່ການຕັ້ງຄ່າເຄື່ອງແມ່ຂ່າຍ ACME-DNS ຂອງພວກເຮົາ.

ຕັ້ງຄ່າເຊີບເວີ ACME-DNS ແລະຂະບວນການອອກໃບຮັບຮອງ

ຕົວຢ່າງ, ຂ້ອຍສ້າງໂດເມນ 2nd.pp.ua, ແລະຈະໃຊ້ມັນໃນອະນາຄົດ.

ຄວາມຕ້ອງການບັງຄັບ ເພື່ອໃຫ້ເຄື່ອງແມ່ຂ່າຍເຮັດວຽກຢ່າງຖືກຕ້ອງ, ມັນຈໍາເປັນຕ້ອງສ້າງບັນທຶກ NS ແລະ A ສໍາລັບໂດເມນຂອງມັນ. ແລະຊ່ວງເວລາທີ່ບໍ່ພໍໃຈທໍາອິດທີ່ຂ້ອຍພົບແມ່ນວ່າ cloudflare (ຢ່າງຫນ້ອຍໃນໂຫມດການນໍາໃຊ້ຟຣີ) ບໍ່ອະນຸຍາດໃຫ້ທ່ານສ້າງບັນທຶກ NS ແລະ A ສໍາລັບເຈົ້າພາບດຽວກັນໃນເວລາດຽວກັນ. ບໍ່ແມ່ນວ່ານີ້ແມ່ນບັນຫາ, ແຕ່ໃນຄວາມຜູກພັນມັນເປັນໄປໄດ້. ການສະຫນັບສະຫນູນຕອບວ່າຄະນະກໍາມະຂອງພວກເຂົາບໍ່ອະນຸຍາດໃຫ້ເຮັດສິ່ງນີ້. ບໍ່ມີບັນຫາ, ໃຫ້ສ້າງບັນທຶກສອງອັນ:

acmens.2nd.pp.ua. IN A 35.237.128.147
acme.2nd.pp.ua. IN NS acmens.2nd.pp.ua.

ໃນຂັ້ນຕອນນີ້, ເຈົ້າພາບຂອງພວກເຮົາຄວນແກ້ໄຂ acmens.2nd.pp.ua.

$ ping acmens.2nd.pp.ua
PING acmens.2nd.pp.ua (35.237.128.147) 56(84) bytes of data

ແຕ່ວ່າ acme.2nd.pp.ua ມັນ​ຈະ​ບໍ່​ແກ້​ໄຂ​, ເນື່ອງ​ຈາກ​ວ່າ​ເຄື່ອງ​ແມ່​ຂ່າຍ DNS ທີ່​ໃຫ້​ບໍ​ລິ​ການ​ມັນ​ຍັງ​ບໍ່​ໄດ້​ແລ່ນ​.

ບັນທຶກໄດ້ຖືກສ້າງຂື້ນ, ພວກເຮົາດໍາເນີນການຕັ້ງແລະເປີດເຄື່ອງແມ່ຂ່າຍ ACME-DNS. ມັນຈະດໍາລົງຊີວິດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ ubuntu ຂອງຂ້ອຍໃນ docker ຕູ້ຄອນເທນເນີ, ແຕ່ທ່ານສາມາດແລ່ນມັນໄດ້ທຸກບ່ອນທີ່ມີ golang. Windows ແມ່ນຂ້ອນຂ້າງເຫມາະສົມ, ແຕ່ຂ້ອຍຍັງມັກເຄື່ອງແມ່ຂ່າຍ Linux.

ສ້າງໄດເລກະທໍລີແລະໄຟລ໌ທີ່ຈໍາເປັນ:

$ mkdir config
$ mkdir data
$ touch config/config.cfg

ໃຫ້ໃຊ້ vim ກັບຕົວແກ້ໄຂຂໍ້ຄວາມທີ່ທ່ານມັກ ແລະວາງຕົວຢ່າງລົງໃນ config.cfg ການຕັ້ງຄ່າ.

ສໍາລັບການປະຕິບັດງານທີ່ປະສົບຜົນສໍາເລັດ, ມັນພຽງພໍທີ່ຈະແກ້ໄຂສ່ວນທົ່ວໄປແລະ api:

[general]
listen = "0.0.0.0:53"
protocol = "both"
domain = "acme.2nd.pp.ua"
nsname = "acmens.2nd.pp.ua" 
nsadmin = "admin.2nd.pp.ua" 
records = 
    "acme.2nd.pp.ua. A 35.237.128.147",
    "acme.2nd.pp.ua. NS acmens.2nd.pp.ua.",                                                                                                                                                                                                  ]
...
[api]
...
tls = "letsencrypt"
…

ນອກຈາກນັ້ນ, ຖ້າຕ້ອງການ, ພວກເຮົາຈະສ້າງໄຟລ໌ docker-compose ໃນບັນຊີການບໍລິການຕົ້ນຕໍ:

version: '3.7'
services:
  acmedns:
    image: joohoi/acme-dns:latest
    ports:
      - "443:443"
      - "53:53"
      - "53:53/udp"
      - "80:80"
    volumes:
      - ./config:/etc/acme-dns:ro
      - ./data:/var/lib/acme-dns

ພ້ອມ. ທ່ານສາມາດດໍາເນີນການໄດ້.

$ docker-compose up -d

ໃນຂັ້ນຕອນນີ້ເຈົ້າພາບຄວນເລີ່ມຕົ້ນແກ້ໄຂ acme.2nd.pp.ua, ແລະ 404 ປະກົດຂຶ້ນ https://acme.2nd.pp.ua

$ ping acme.2nd.pp.ua
PING acme.2nd.pp.ua (35.237.128.147) 56(84) bytes of data.

$ curl https://acme.2nd.pp.ua
404 page not found

ຖ້າອັນນີ້ບໍ່ປາກົດ - docker logs -f <container_name> ເພື່ອຊ່ວຍ, ໂຊກດີ, ບັນທຶກແມ່ນສາມາດອ່ານໄດ້.

ພວກເຮົາສາມາດເລີ່ມຕົ້ນສ້າງໃບຢັ້ງຢືນ. ເປີດ powershell ເປັນຜູ້ບໍລິຫານແລະແລ່ນ winacme. ພວກເຮົາມີຄວາມສົນໃຈໃນການເລືອກຕັ້ງ:

• M: ສ້າງໃບຢັ້ງຢືນໃຫມ່ (ທາງເລືອກເຕັມ)
• 2: ການປ້ອນຂໍ້ມູນດ້ວຍມື
• 2: [dns-01] ສ້າງບັນທຶກການກວດສອບດ້ວຍ acme-dns (https://github.com/joohoi/acme-dns)
• ເມື່ອຖືກຖາມກ່ຽວກັບການເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍ ACME-DNS, ໃສ່ URL ຂອງເຄື່ອງແມ່ຂ່າຍທີ່ສ້າງຂື້ນ (https) ໃນຄໍາຕອບ. URL ຂອງເຊີບເວີ acme-dns: https://acme.2nd.pp.ua

ໃນການເປີດ, ລູກຄ້າອອກບັນທຶກທີ່ຕ້ອງໄດ້ຮັບການເພີ່ມໃສ່ເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ມີຢູ່ແລ້ວ (ຂັ້ນຕອນຫນຶ່ງຄັ້ງ):

[INFO] Creating new acme-dns registration for domain 1nd.pp.ua

Domain:              1nd.pp.ua
Record:               _acme-challenge.1nd.pp.ua
Type:                   CNAME
Content:              c82a88a5-499f-464f-96e4-be7f606a3b47.acme.2nd.pp.ua.
Note:                   Some DNS control panels add the final dot automatically.
                           Only one is required.

ພວກເຮົາສ້າງບັນທຶກທີ່ຈໍາເປັນແລະໃຫ້ແນ່ໃຈວ່າມັນຖືກສ້າງຂຶ້ນຢ່າງຖືກຕ້ອງ:

$ dig CNAME _acme-challenge.1nd.pp.ua +short
c82a88a5-499f-464f-96e4-be7f606a3b47.acme.2nd.pp.ua.

ພວກເຮົາຢືນຢັນວ່າພວກເຮົາໄດ້ສ້າງລາຍການທີ່ຕ້ອງການໃນ winacme, ແລະສືບຕໍ່ຂະບວນການສ້າງໃບຢັ້ງຢືນ:

ວິທີການໃຊ້ certbot ເປັນລູກຄ້າໄດ້ຖືກອະທິບາຍ ທີ່ນີ້.

ນີ້ເຮັດສໍາເລັດຂະບວນການສ້າງໃບຢັ້ງຢືນ; ທ່ານສາມາດຕິດຕັ້ງມັນຢູ່ໃນເຄື່ອງແມ່ຂ່າຍເວັບໄຊຕ໌ແລະນໍາໃຊ້ມັນ. ຖ້າ, ເມື່ອສ້າງໃບຢັ້ງຢືນ, ເຈົ້າຍັງສ້າງວຽກງານໃນຕົວກໍານົດເວລາ, ຫຼັງຈາກນັ້ນ, ໃນອະນາຄົດຂະບວນການຕໍ່ອາຍຸໃບຢັ້ງຢືນຈະເກີດຂື້ນໂດຍອັດຕະໂນມັດ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com