Podpora ACME přímo v Apache

Příspěvek na blogu otevřené certifikační autority Let's Encrypt informuje o začlenění podpory protokolu ACME (Automatic Certificate Management Environment) přímo do webového serveru Apache. Klienty ACME lze nahradit novým modulem Apache mod_md. Na vývoj tohoto modulu bylo uvolněno 70 tisíc dolarů z programu Mozilla Open Source Support (MOSS). K rozchození HTTPS na Apache stačí nově přidat do konfiguračního souboru řádek s ManagedDomain. Minutový videonávod na YouTube [reddit].

18.10.2017 01:23 | Ladislav Hagara | Zajímavý software

Komentáře

[Harvie.CZ]

No hura. Sem zvedavej jak to bude fungovat, kdyz ty certifikaty budu pak chtit este treba pouzit vedle v mailserveru. Ale podle vseho by je to melo ukladat nekam na disk.

[MP]

No to mate blby. Protoze mailserver se urcite nebude reloadovat po zmene certifikatu bez nejakeho impulsu. A za druhe, pokud nepouzijete multidomain certifikat, tak urcite hostname mailserver != webserver.

[masca]

1. Tohle je udělané právě na ten impuls.

2. LetsEncrypt nemá problém se SAN, ale všechny domény musí ověřit přes web. Je fakt, že to vyžaduje web server na smtp.example.com, ale např. přesměrovávat na webmail nebo odpovídat jen na challenge je za certifikát celkem přijatelná cena.

[Marcel Šebek]

2. LetsEncrypt nemá problém se SAN, ale všechny domény musí ověřit přes web.

To není tak úplně pravda, existuje i cosi jako DNS challenge.

[Jendа]

tak urcite hostname mailserver != webserver

Proč? Když to běží na tom stejném stroji…

Je fakt, že to vyžaduje web server na smtp.example.com

Když je to jeden stroj, tak stačí nastavit defaultní virtualhost. Ověřuje se to postupně a třeba můj oblíbený klient acme-tiny s tím nemá problém.

[R]

To by mohlo byt zaujimave. Certbot-apache ma dost serie - ked chce clovek urobit nieco nestandardne, tak zisti, ze neexistuje poriadna dokumentacia...

[Jendа]

Proto mám nejradši acme-tiny, což je v podstatě skript kolem řádkového openssl a můžeš si tam snadno nastavit cokoli co openssl umí.