SSL स्वचालन की ओर

अक्सर हमें SSL प्रमाणपत्र के साथ काम करना पड़ता है। आइए प्रमाण पत्र बनाने और स्थापित करने की प्रक्रिया को याद करें (अधिकांश के लिए सामान्य मामले में)।

• एक प्रदाता खोजें (एक साइट जिस पर हम एसएसएल खरीद सकते हैं)।
• CSR उत्पन्न करें।
• इसे अपने प्रदाता को भेजें।
• डोमेन स्वामित्व सत्यापित करें।
• एक प्रमाण पत्र प्राप्त करें।
• प्रमाणपत्र को वांछित रूप में परिवर्तित करें (वैकल्पिक)। उदाहरण के लिए, pem से PKCS # 12 तक।
• वेब सर्वर पर प्रमाणपत्र स्थापित करें।

अपेक्षाकृत तेज, जटिल और समझने योग्य नहीं। यदि हमारे पास एक दर्जन से अधिक परियोजनाएँ हैं, तो यह विकल्प काफी उपयुक्त है। और अगर वहाँ अधिक हैं, और उनके पास कम से कम तीन वातावरण हैं? क्लासिक देव - मंचन - उत्पादन। इस मामले में, आपको इस प्रक्रिया को स्वचालित करने के बारे में सोचना चाहिए। मेरा सुझाव है कि आप समस्या को गहराई से खोदें और एक ऐसा समाधान निकालें जो भविष्य में प्रमाण पत्र बनाने और बनाए रखने के लिए आवश्यक समय को कम से कम करे। लेख समस्या का विश्लेषण और पुनरावृत्ति के लिए एक छोटा गाइड प्रस्तुत करेगा।

मैं अग्रिम में आरक्षण करूँगा: हमारी कंपनी का मुख्य विशेषज्ञता .net है, और तदनुसार आईआईएस और अन्य विंडोज स्टेमिंग। इसलिए, ACME क्लाइंट और इसके लिए सभी कार्यों का उपयोग खिड़कियों के उपयोग के संदर्भ में भी किया जाएगा।

जिनके लिए यह प्रासंगिक और कुछ स्रोत डेटा है

कंपनी के लेखक द्वारा प्रतिनिधित्व किया गया। URL (उदाहरण के लिए): company.tld

प्रोजेक्ट एक्स हमारी परियोजनाओं में से एक है, जिसके साथ मैं इस निष्कर्ष पर पहुंचा था कि सभी समान, आपको प्रमाणपत्रों के साथ काम करते समय अधिकतम समय की बचत की ओर बढ़ना होगा। इस परियोजना के चार वातावरण हैं: देव, परीक्षण, मंचन और उत्पादन। देव और परीक्षण हमारे पक्ष में हैं, मंचन और उत्पादन ग्राहक पक्ष में हैं।

परियोजना की एक विशेषता यह है कि इसमें बड़ी संख्या में मॉड्यूल हैं जो उप-डोमेन के रूप में उपलब्ध हैं।

अर्थात्, हमारे पास निम्न चित्र है:

उत्पादन के लिए, खरीदे गए वाइल्डकार्ड प्रमाणपत्र का उपयोग किया जाता है, कोई प्रश्न नहीं हैं। लेकिन यह उपडोमेन के पहले स्तर को ही कवर करता है। तदनुसार, यदि * .projectX.tld के लिए कोई प्रमाण पत्र है - तो यह staging.projectX.tld के लिए काम करेगा, लेकिन मॉड्यूल 1.staging.projectX.tld के लिए यह पहले से ही नहीं है। लेकिन मुझे ऐसा महसूस नहीं हुआ कि मैं एक अलग खरीद रहा हूं।

और यह केवल एक कंपनी की एक परियोजना का एक उदाहरण है। और परियोजना, निश्चित रूप से, एक नहीं है।

हर किसी के लिए इस मुद्दे से निपटने के सामान्य कारण कुछ इस तरह दिखते हैं:

• हाल ही में, Google ने SSL प्रमाणपत्र की अधिकतम वैधता अवधि को कम करने का प्रस्ताव दिया है । सभी परिणामों के साथ।
• संपूर्ण रूप से परियोजनाओं और कंपनी की आंतरिक आवश्यकताओं के लिए एसएसएल जारी करने और बनाए रखने की प्रक्रिया को सुगम बनाना।
• प्रमाणपत्र रिकॉर्ड का केंद्रीकृत भंडारण, जो DNS और बाद में स्वचालित अपडेट का उपयोग करके डोमेन सत्यापन की समस्या को आंशिक रूप से हल करता है, और क्लाइंट ट्रस्ट समस्या को भी हल करता है। फिर भी, CNAME तृतीय-पक्ष संसाधन की तुलना में भागीदार / ठेकेदार कंपनी के सर्वर पर अधिक विश्वास का कारण बनता है।
• ठीक है, अंत में, इस मामले में, वाक्यांश "से बेहतर नहीं है" पूरी तरह से फिट बैठता है।

SSL प्रदाता और प्रारंभिक चरण चुनना

नि: शुल्क एसएसएल प्रमाण पत्र के लिए उपलब्ध विकल्पों में से, क्लाउडफ्लेयर और लेटेन्सक्रिप्ट को माना जाता था। इसके लिए DNS (और कुछ अन्य परियोजनाओं) को क्लाउडफ्लेयर पर होस्ट किया जाता है, लेकिन मैं उनके प्रमाणपत्र का उपयोग करने का प्रशंसक नहीं हूं। इसलिए, letencrypt का उपयोग करने का निर्णय लिया गया।
वाइल्डकार्ड SSL प्रमाणपत्र बनाने के लिए, आपको डोमेन के स्वामित्व की पुष्टि करनी होगी। इस प्रक्रिया में प्रमाणपत्र जारी करते समय इसके बाद के सत्यापन के साथ कुछ DNS रिकॉर्ड (TXT या CNAME) का निर्माण शामिल है। लिनक्स में एक उपयोगिता है, जिसे सर्पोट कहा जाता है , जो आपको आंशिक रूप से (या पूरी तरह से कुछ डीएनएस प्रदाताओं के लिए) इस प्रक्रिया को स्वचालित करने की अनुमति देता है। विंडोज के लिए, एसीएमई क्लाइंट विकल्पों के पाया और परीक्षण किया गया , मैं WinACME पर बस गया।

और डोमेन के लिए रिकॉर्ड बनाया गया है, हम प्रमाण पत्र के निर्माण के लिए आगे बढ़ते हैं:

हम अंतिम निष्कर्ष में रुचि रखते हैं, अर्थात्, वाइल्डकार्ड प्रमाणपत्र जारी करने के लिए डोमेन स्वामित्व की पुष्टि करने के लिए उपलब्ध विकल्प:

1. मैन्युअल रूप से DNS रिकॉर्ड बनाना (स्वचालित अद्यतन समर्थित नहीं है)
2. Acme-dns सर्वर का उपयोग करके DNS रिकॉर्ड बनाना (अधिक विवरण यहां पाया जा सकता है ।
3. अपनी खुद की लिपि का उपयोग करके डीएनएस रिकॉर्ड बनाना (सर्टिफिकेट के लिए क्लाउडफ्लेयर प्लगइन का एनालॉग)।

पहली नज़र में, तीसरा बिंदु काफी उपयुक्त है, लेकिन अगर डीएनएस प्रदाता इस कार्यक्षमता का समर्थन नहीं करता है? और हमें एक सामान्य मामला चाहिए। और सामान्य मामला CNAME रिकॉर्ड है, जो सभी उनका समर्थन करते हैं। इसलिए, हम बिंदु 2 पर रुकते हैं, और हमारे ACME-DNS सर्वर को कॉन्फ़िगर करने के लिए जाते हैं।

ACME-DNS सर्वर और प्रमाणपत्र समस्या प्रक्रिया को कॉन्फ़िगर करना

उदाहरण के लिए, मैंने 2nd.pp.ua डोमेन बनाया, और भविष्य में मैं इसका उपयोग करूंगा।

सर्वर के सही संचालन के लिए एक शर्त NS और A के डोमेन के लिए रिकॉर्ड बनाना है। और पहला अप्रिय क्षण जो मुझे आया था - क्लाउडफेयर (कम से कम मुफ्त उपयोग मोड में) आपको एक ही मेजबान के लिए एक साथ एक एनएस और ए रिकॉर्ड बनाने की अनुमति नहीं देता है। ऐसा नहीं है कि यह एक समस्या थी, लेकिन बाँध में यह संभव है। समर्थन ने उत्तर दिया कि उनका पैनल इसकी अनुमति नहीं देता है। इससे कोई फर्क नहीं पड़ता, दो प्रविष्टियाँ बनाएँ:

acmens.2nd.pp.ua. IN A 35.237.128.147 acme.2nd.pp.ua. IN NS acmens.2nd.pp.ua. 

इस स्तर पर, acmens.2nd.pp.ua होस्ट को हल करना चाहिए।

 $ ping acmens.2nd.pp.ua PING acmens.2nd.pp.ua (35.237.128.147) 56(84) bytes of data 

लेकिन acme.2nd.pp.ua को हल नहीं किया जाएगा, क्योंकि DNS सर्वर जो कार्य करता है वह अभी तक नहीं चल रहा है।

रिकॉर्ड्स बनाए जाते हैं, कॉन्फ़िगर करने और ACME-DNS सर्वर चलाने के लिए। मेरे पास यह डॉकटर कंटेनर में ubuntu सर्वर पर लाइव होगा, लेकिन आप इसे वहां चला सकते हैं जहाँ भी गोलांग है। विंडोज भी ठीक है, लेकिन मैं अभी भी एक लिनक्स सर्वर पसंद करता हूं।

आवश्यक निर्देशिकाएँ और फ़ाइलें बनाएँ:

 $ mkdir config $ mkdir data $ touch config/config.cfg 

लाभ उठाएं शक्ति अपने पसंदीदा पाठ संपादक और config.cfg में एक नमूना विन्यास डालें।

सफल होने के लिए, बस सामान्य और एपीआई वर्गों को ट्वीक करें:

 [general] listen = "0.0.0.0:53" protocol = "both" domain = "acme.2nd.pp.ua" nsname = "acmens.2nd.pp.ua" nsadmin = "admin.2nd.pp.ua" records = "acme.2nd.pp.ua. A 35.237.128.147", "acme.2nd.pp.ua. NS acmens.2nd.pp.ua.", ] ... [api] ... tls = "letsencrypt" … 

इसके अलावा, यदि वांछित है, तो सेवा की मुख्य निर्देशिका में एक डॉक-कम्पोज़ फ़ाइल बनाएं:

 version: '3.7' services: acmedns: image: joohoi/acme-dns:latest ports: - "443:443" - "53:53" - "53:53/udp" - "80:80" volumes: - ./config:/etc/acme-dns:ro - ./data:/var/lib/acme-dns 

हो गया। आप दौड़ सकते हैं।

 $ docker-compose up -d 

इस स्तर पर, acme.2nd.pp.ua होस्ट को acme.2nd.pp.ua करना शुरू करना चाहिए, और 404 को https://acme.2nd.pp.ua पर प्रदर्शित होना चाहिए

 $ ping acme.2nd.pp.ua PING acme.2nd.pp.ua (35.237.128.147) 56(84) bytes of data. $ curl https://acme.2nd.pp.ua 404 page not found 

यदि यह दिखाई नहीं देता - सहायता के लिए docker logs -f <container_name> , सौभाग्य से, लॉग काफी पठनीय हैं।

हम एक प्रमाण पत्र बनाना शुरू कर सकते हैं। व्यवस्थापक के रूप में शक्तियाँ खोलें और winacme चलाएँ। हमें चुनाव में दिलचस्पी है:

• M: नया प्रमाणपत्र (पूर्ण विकल्प) बनाएं
• 2: मैनुअल इनपुट
• 2: [dns-01] acme-dns ( https://github.com/joohoi/acme.dit ) के साथ सत्यापन रिकॉर्ड बनाएं
• ACME-DNS सर्वर के लिंक के बारे में पूछे जाने पर, हम प्रतिक्रिया में बनाए गए सर्वर (https) का URL दर्ज करते हैं। Acme-dns सर्वर का URL: https://acme.2nd.pp.ua

सर्वर में, क्लाइंट एक प्रविष्टि जारी करता है जिसे मौजूदा DNS सर्वर (एक-समय प्रक्रिया) में जोड़ा जाना चाहिए:

 [INFO] Creating new acme-dns registration for domain 1nd.pp.ua Domain: 1nd.pp.ua Record: _acme-challenge.1nd.pp.ua Type: CNAME Content: c82a88a5-499f-464f-96e4-be7f606a3b47.acme.2nd.pp.ua. Note: Some DNS control panels add the final dot automatically. Only one is required. 

हम आवश्यक रिकॉर्ड बनाते हैं, और सुनिश्चित करते हैं कि यह सही तरीके से बनाया गया था:

 $ dig CNAME _acme-challenge.1nd.pp.ua +short c82a88a5-499f-464f-96e4-be7f606a3b47.acme.2nd.pp.ua. 

हम पुष्टि करते हैं कि हमने winacme में आवश्यक प्रविष्टि बनाई है, और प्रमाणपत्र बनाने की प्रक्रिया जारी रखें:

एक ग्राहक के रूप में सर्टिफिकेट का उपयोग कैसे करें, यहां वर्णित है ।

यह एक प्रमाण पत्र बनाने की प्रक्रिया को पूरा करता है, आप इसे एक वेब सर्वर पर स्थापित कर सकते हैं और इसका उपयोग कर सकते हैं। यदि, प्रमाण पत्र बनाते समय, शेड्यूलर में एक कार्य भी बनाया जाता है, तो भविष्य में प्रमाण पत्र नवीकरण प्रक्रिया स्वचालित रूप से हो जाएगी।