Как я сделал HTTPS на Debian-8 c Nginx ⇐ Nginx

[Novichok_spb]

Привет всем!
Может, кому-то будет полезен мой чайниковский опыт. Ведь гугл хром грозится обзывать все сайты без https ненадёжными...
В общем, я решил сделать для своего сайта бесплатный сертификат, который выдаёт всем желающим Let's Encrypt.
1. Добавить нужный репозиторий в etc/apt/sources.list строку

Код: Выделить всё

deb http://ftp.debian.org/debian jessie-backports main

(Вообще, это на их сайте написано https://certbot.eff.org/#debianjessie-nginx)

2. запустить

Код: Выделить всё

sudo apt-get update

3.

Код: Выделить всё

sudo apt-get install certbot -t jessie-backports

установится их утилита

4. добавить каталог etc/nginx/ssl

Код: Выделить всё

sudo openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048

чтобы создался файл dhparam.pem
у меня несколько минут бегали какие-то символы на экране, потом файл создался
Это нужно для дополнительного шифрования, чтобы потом при проверке на https://www.ssllabs.com/ssltest/ ваш сайт получил хотя бы А.

В /etc/nginx.conf там, где секция ssl добавить:

Код: Выделить всё

	ssl_session_cache   shared:SSL:20m;
	ssl_session_timeout 10m;	
	ssl_stapling on;
	ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
	ssl_dhparam /etc/nginx/ssl/dhparam.pem;
	resolver                    8.8.8.8 8.8.4.4 valid=300s;
	resolver_timeout            10s;	

Для конкретного домена (например, mysite.com) запускаем установленную утилиту

Код: Выделить всё

certbot certonly --webroot -w /home/www/mysite.com -d mysite.com

должно появиться что-то типа такого:

Saving debug log to /var/log/letsencrypt/letsencrypt.log x
x Starting new HTTPS connection (1): acme-v01.api.letsencrypt.org x
x Obtaining a new certificate x
x Performing the following challenges: x
x http-01 challenge for mysite.com x
x Waiting for verification... x
x Cleaning up challenges x
x Generating key (2048 bits): x
x /etc/letsencrypt/keys/0000_key-certbot.pem x
x Creating CSR: /etc/letsencrypt/csr/0000_csr-certbot.pem
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/mysite.com/fullchain.pem. Your cert will
expire on 2017-06-01. To obtain a new or tweaked version of this
certificate in the future, simply run certbot again. To
non-interactively renew *all* of your certificates, run "certbot
renew"

В конфигурации сайта nginx/available/mysite.conf делаем для http, который на 80-м порту редирект на https

Код: Выделить всё

server {
    listen 80;
    server_name mysite.com www.mysite.com;
    return 301 https://mysite.com$request_uri;
}

а то, что было написано для 80-го порта, оставляем, заменив 80 на 443, и добавив пути к сертификатам

Код: Выделить всё

 server {
 
	listen 443 ssl;
	server_name  mysite.com www.mysite.com;
	ssl_certificate /etc/letsencrypt/live/mysite.com/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/mysite.com/privkey.pem;
.... дальше всё, как было

Сертификаты сейчас выдаются на три месяца. Потом надо просто дать команду обновления

Код: Выделить всё

certbot renew --dry-run