Let’s Encrypt の証明書で nginx を HTTPS化し SSL通信にする

 

 

サイト arakan60.mydns.jp で A+ を取得。

 

 

 

 

 

 

 

 

.
1.認証局のクライアントアプリのインストールについて
Let’s Encryptクライアントのダウンロードの場合、『Debian 7 (wheezy) のパッケージ管理システムには Certbot クライアントは収録されていません。』ということで、certbot-auto のセットアップに苦労した。

 

2. 証明書申請のために、メールアドレスが必要
殆んどの認証局で、証明書を申請する時点で、

 

そこで、Let's Encrypt の証明書をブラウザ上で簡単 に取得できる、「SSLなう! (https://sslnow.ml/)」を利用した。→ 変更：「SSLなう! (https://sslnow.cf/)」

以下、「SSLなう! 」によるSSL化の記録。

 

2-1. Let's Encrypt へ登録。

 

処理中です画面。

 

登録に成功しました画面。

 

登録が完了すると、次回以降はブラウザから自動的に署名鍵が読み込まれ、登録のステップはスキップされる。

 

2-2. チャレンジトークンの取得。
証明書を取得したいドメイン名を入力し「トークンを取得」ボタンを押す。
複数のドメイン名に対する証明書を発行したい場合は「追加」ボタンを押す。

 

トークンの取得に成功しました画面。

 

トークンが取得できたら、URL欄にトークンをアップロードするディレクトリーが表示されるので、ディレクトリーとファイルを用意し、そのファイルの中に、右側に表示されている内容を貼り付けて、アップロードする。アップロードが出来たら『確認ボタン』を押す。

 

所有権の確認に成功しました画面。

 

2-4. 証明書発行申請。
「RSA」を選んで、秘密鍵の「生成」ボタンを押す。
秘密鍵を一度生成し、保存されているならばその内容を貼り付ければよい。

 

RSA 秘密鍵を生成しました画面。

 

秘密鍵が生成されたら『クリップボードにコピー』を押し、保存しておく。
これが、今後必要となる秘密鍵『privkey.pem』である。
「証明書発行申請」ボタンを押して証明書の発行を申請する。

 

証明書の取得に成功しました画面。

 

証明書発行申請を何回も繰り返すと、” Too many certificates already issued for:xxxxx ” という、エラーメッセージが出て発行申請が出来なくなる。

 

 

2-5. 発行された証明書の保存。
証明書は3種類発行されるので、それぞれコピーして保存する。

 

①．cert.pem（サーバ証明書）

 

②．chain.pem（中間証明書）
③．fullchain.pem（サーバ証明書と中間証明書が結合されたもの）

 

以上で、証明書の取得は完了。

 

 

 

 

 

証明書が取得出来たら、HTTPS通信を有効化するために、nginx の設定変更を行うが、この前に、ufw で設定した、iptables でのファイヤウォールに、ポート番号443 を通す ufw allow 443/tcp を行っておく。（これを忘れていた為、他のドメインににリダイレクトされ悩む。）

 

 

3-2. sudo nano /etc/nginx/sites-available/default の編集。
Let's Encrypt の証明書と秘密鍵を nginx の ssl_certificate と ssl_certificate_key で指定する。

server {
  listen 80;
  server_name arakan60.mydns.jp;
  return 301 https://$host$request_uri;
}

server {
  listen 443;
  ssl on;
  server_name arakan60.mydns.jp;
  root /home/yaopi/www;

  ssl_certificate /etc/letsencrypt/live/arakan60.mydns.jp/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/arakan60.mydns.jp/privkey.pem; 
  ...省略...

##
# SSL Settings
##
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # Dropping SSLv3, ref: POODLE
ssl_prefer_server_ciphers on;

# 安全でない暗号化スイートはサポートしない
ssl_ciphers  'ECDH !aNULL !eNULL !SSLv2 !SSLv3';

#HTTP Strict Transport Security --- HSTSの設定
add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload';

 

7行目以下を追記。

その結果！

めでたしめでたし。

        ##
        # SSL Perfect Forward Secrecy（PFS）を有効にする Settings
        ##
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # Dropping SSLv3, ref: POODLE
        ssl_prefer_server_ciphers on;

        # 安全でない暗号化スイートはサポートしない
        # ssl_ciphers  'ECDH !aNULL !eNULL !SSLv2 !SSLv3';
        ssl_ciphers "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SH$"

        #HTTP Strict Transport Security --- HSTSの設定
        add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains; preload';

以上。
(2017.01.11)