Let's Encrypt ve veřejné betě (diskuse)

[Bystroushaak]

Používáte to někdo? Já docela uvažuji, že bych to použil pro REST API u nás v práci.

[Pavel Půlpán]

Jo a je to celkem sympatické. Co se týče implementace do vlastních systémů, tak rozhodně žádná hrůza.

[Milan Beneš]

Včera jsem to nasadil, kvachá to hezky. Užitečný je tento gist: https://gist.github.com/renchap/c093702f06df69ba5cac#file-readme-md. Jen toho klienta je třeba už volat jinak: ./letsencrypt-auto certonly --text --agree-tos --server https://acme-v01.api.letsencrypt.org/directory -a webroot --webroot-path /var/tmp/letsencrypt-auto -d www.domena.cz -d domena --email admin@domena.cz

a pro jistotu i konfigurák nginxu:

location '/.well-known/acme-challenge' {
    default_type "text/plain";
    root        /var/tmp/letsencrypt-auto;
}

[mirec]

Ja jednoznačne idem do toho cez víkend. Keby som ešte tak mohol mať k tomu dnssec ...

[Martin]

Tak jsem to nasadil na apache2. Spustil jsem jen: ./letsencrypt-auto --apache. Mém případě nastaly ale dva problémy, které jsem vyřešil. Jeden dočasně a druhý trvale. Ten první a docela zásadní pro následné (za max 3 měsíce) generování certifikátu byl ten, že kvůli OpenVPN běžící na portu 443 souběžně s apache2 používám sslh. Takže apache mám lokálně nakonfigurovaný na jiný port. Bohužel změna portu při generování není možná, tak jsem musel vypnout vpnku a sslhd a apache2 přehodit dočasně na port 443. Druhý problém byl ten, že to bere konfigy z rootu sites-available a ty jsme měl v poadresářích (co adresář, to název domény). Musel jsem se tedy této struktury vzdát - to se dá ale zkousnout. Potom vygenerování podpisů a změna konfuguráků proběhla bez problému. Musel jsem jen upravit porty a znovu-zapnout sslh a OpenVPN. A bohužel tohle nevím jak řešit, abych mohl regenerování v budoucnu nějak rozumně zautomatizovat. Viz.: https://github.com/letsencrypt/letsencrypt/issues/341

[Josef Kufner]

Použij .well-known adresář, kam letsencrypt umístí soubor. Je to jednodušší, než řešit nestandardní konfiguraci serveru.

[Radek Hladik]

Webroot modul můžu jedině doporučit. Co je pěkné je, že to funguje i s redirectem, takže je možné na jednom serveru dát jen redirect na jiný server, kde se pustí ten klient. Je tak možné mít klienta jen na jednom stroji a všechny certifikáty spravovat pak z jednoho místa.

[Martin]

Jo a ještě jedna věc. Když mám několik virtual hostů, automatika mi vytvoří cert pro jeden (zřejmě náhodný) z nich. Ostatní jsou v Alternative CN. Nenašel jsem tedy možnost výběru, který VH bude v certifikátu "hlavní".

[Josef Kufner]

Hlavní je ten první.

[Martin]

A proč je první ten, co začíná na "k", když tam mám ještě "f", "a" a "d"? :)

[Josef Kufner]

První v tom pořadí, ve kterém jsi je uvedl.

[Martin]

Ten automat mi je nabídne sám, nic jsem neuváděl. První je písmeno K. Podle abecedy (ani názvu konfigu vhosta) to není. Tak nevím, kde bere to pořadí.

[Zopper]

To mi udělal taky. Napadá mě, že to neřadí abecedně, ale vezme to v raw pořadí v jakém jsou ty soubory odkazované na disku.

[Josef Kufner]

Když domény uvedeš jako parametry na příkazové řádce nebo v configu, tak je to pořadí jasně dané.

[Luk]

Správné je mít pro každý virtual host samostatný certifikát. Pokud jsou certifikáty zdarma a jejich získávání lze automatizovat, platí to o to více.

[Martin]

No když je to správné, tak by se o to měla postarat ta automatická konfigurace, co spouštím. Myslel jsem, že jedna z velkých LetsEncrypt vyhod (krom toho, že cert jsou zdarma) je v jednoduchost generovaní...

[Josef Kufner]

Však je to teprve beta. Ty věci okolo automatizace nejsou dodělané. Chce to trošku vlastního skriptování

[jozo]

\An unexpected error occurred: There were too many requests of a given type :: Error creating new cert :: Too many certificates already issued for: no-ip.org

no tak som sklamany :( vyzera ze no-ip sa nebudu dat regnut

[Josef Kufner]

Napiš jim bugreport, ať pro dyndns udělátka zvednou limit