Howto/SSL Zertifikate mit Let's Encrypt - Versionsgeschichte

Prisma: /* apache reverse proxy konfigurieren */

2017-01-12T01:20:19Z

apache reverse proxy konfigurieren

Prisma: /* cert_client */

2017-01-12T01:18:51Z

cert_client

Prisma: /* cert_master */

2017-01-12T01:12:40Z

cert_master

Prisma: /* Cron */

2017-01-12T01:03:44Z

Cron

Prisma am 12. Januar 2017 um 01:02 Uhr

2017-01-12T01:02:51Z

Prisma: /* SSH konfigurieren */

2017-01-12T00:53:27Z

SSH konfigurieren

Prisma: /* SSH konfigurieren */

2017-01-12T00:51:42Z

SSH konfigurieren

Prisma: /* Cron */

2017-01-12T00:38:44Z

Cron

Prisma am 12. Januar 2017 um 00:38 Uhr

2017-01-12T00:38:04Z

Prisma am 12. Januar 2017 um 00:00 Uhr

2017-01-12T00:00:30Z

@@ Zeile 342: / Zeile 342: @@
 apachectl restart
 </source>
-Es ist noch notwendig ein paar weitere Apache module zu aktivieren <source lang=bash inline>a2enmod $mod</source>.
+Es ist noch notwendig ein paar weitere Apache module zu aktivieren <source lang=bash inline>a2enmod $mod</source>, welche ist der Fehlermeldung beim neu starten zu entnehmen.
 ===SSH konfigurieren===

← Nächstältere Version		Version vom 12. Januar 2017, 01:18 Uhr
Zeile 328:		Zeile 328:

	==cert_client==		==cert_client==
		+
		+	===apache reverse proxy konfigurieren===
		+
		+	'''/etc/apache2/conf-available/letsencrypt.conf''':Da die challenges von letsencrypt bei dem cert_client enden (http://$domain/.well-known/acme-challenge/), aber auf dem cert_master terminiert werden sollen, richten wir einen reverse proxy ein.
		+	<source lang=bash>
		+	SSLProxyEngine On
		+	ProxyPassMatch ^/(.well-known/acme-challenge/.*) https://freifunk-mwu.de:443/$1
		+	ProxyPassReverse / https://freifunk-mwu.de:443/
		+	</source>
		+	Jetzt noch config aktivieren und apache neustarten:
		+	<source lang=bash>
		+	a2enconf letsencrypt
		+	apachectl restart
		+	</source>
		+	Es ist noch notwendig ein paar weitere Apache module zu aktivieren <source lang=bash inline>a2enmod $mod</source>.

	===SSH konfigurieren===		===SSH konfigurieren===

@@ Zeile 18: / Zeile 18: @@
 cp dehydrated/dehydrated /usr/local/sbin/dehydrated
 mkdir -p /etc/dehydrated
 </source>

@@ Zeile 326: / Zeile 326: @@
 ===Cron===
-/etc/cron.daily/ssl_certs: Hier wird das Zertifikat des Hosts $cert_client abgerufen. Dann werden Permissions angepasst und Dienste neu gestartet. Andere Dienste erfordern hier Anpassung (z.B. mail).
+'''/etc/cron.daily/ssl_certs''': Hier wird das Zertifikat des Hosts $cert_client abgerufen. Dann werden Permissions angepasst und Dienste neu gestartet. Andere Dienste erfordern hier Anpassung (z.B. mail).
 <source lang=bash>
 #!/bin/sh

@@ Zeile 310: / Zeile 310: @@
 ==cert_client==
-==SSH konfigurieren==
+===SSH konfigurieren===
 '''/root/.ssh/config''':Cron läuft als root, deswegen brauchen wir die config hier. $Hostname gegen den cert_client ersetzen, $cert_master gegen hostname cert_master.
@@ Zeile 324: / Zeile 324: @@
 <source lang=bash inline>sftp $cert_master</source> muss ohne Eingabe funktionieren.

← Nächstältere Version		Version vom 12. Januar 2017, 00:51 Uhr
Zeile 310:		Zeile 310:
	==cert_client==		==cert_client==

−	==SSH ~~kofigurieren~~==	+	==SSH konfigurieren==
		+
		+	'''/root/.ssh/config''':Cron läuft als root, deswegen brauchen wir die config hier. $Hostname gegen den cert_client ersetzen.
		+	<source lang=bash>
		+	Host $cert_master
		+	User cert
		+	Hostname $cert_master.freifunk-mwu.de
		+	Port 23
		+	IdentityFile /home/admin/.ssh/$HOSTNAME_rsa
		+	</source>
		+
		+	'''/home/admin/.ssh/$HOSTNAME_rsa.pub:''' Den public key auf dem cert_master in die zusätzliche authorized_keys Datei eintragen.
		+
		+	<source lang=bash inline>sftp $cert_master</source> muss ohne Eingabe funktionieren.

@@ Zeile 300: / Zeile 300: @@
 Das script in cron.daily läuft einmal täglich (wann wird bestimmt von Debian). Dann werden neue Zertifikate abgerufen und alte erneuert.
 '''/etc/cron.daily/ssl_certs''': dehydrated wird aufgerufen und stdout wird verworfen. Stderr wird über cron per mail weiter gegeben.
 <source lang=bash>

@@ Zeile 3: / Zeile 3: @@
 cert_client: Rechner, auf den die Zertifikate übertragen werden.
-==Cert_master==
+==cert_master==
 ===Software besorgen/installieren:===
@@ Zeile 218: / Zeile 218: @@
      cp $CHAINFILE /home/cert/$DOMAIN/
-     chmod 500 $(find /home/cert -mindepth 1 -type d )
+     chmod 750 $(find /home/cert -mindepth 1 -type d )
-     chmod 400 $(find /home/cert -mindepth 1 -type f )
+     chmod 740 $(find /home/cert -mindepth 1 -type f )
-     chown cert.cert -R /home/cert/*
+     chown root.cert -R /home/cert/*
      # cleanup unused cert files
@@ Zeile 272: / Zeile 272: @@
 </source>
-==SSH konfigurieren==
+===Transferbenutzer anlegen===
-/etc/ssh/sshd_config: Hier wird /etc/ssh/authorized_keys_local als zusätzliche Quelle für erlaubte public keys hinzugefügt.
+Dieser Benutzer wird verwendet als Transferbenutzer zwischen cert_master und cert_client
 <source lang=bash>
 AuthorizedKeysFile      %h/.ssh/authorized_keys /etc/ssh/authorized_keys_local
 </source>
-/etc/ssh/sshd_config: Hier wird ein chroot jail für den Zertifikatsuser eingerichtet, so dass ein geleakter private key kein manipulieren des Cert_master zulässt. Die Permissions von /home/cert (wie gesetzt in hooks.sh) verhindern ein überschreiben der Zertifikate, internal-sftp erlaubt nur sftp über die Verbindung.
+'''/etc/ssh/sshd_config''': Hier wird ein chroot jail für den Zertifikatsuser eingerichtet, so dass ein geleakter private key kein manipulieren des cert_master zulässt. Die Permissions von /home/cert (wie gesetzt in hooks.sh) verhindern ein überschreiben der Zertifikate, internal-sftp erlaubt nur sftp über die Verbindung.
 <source lang=bash>
 Match User cert
@@ Zeile 289: / Zeile 295: @@
 </source>
-/etc/ssh/authorized_keys_local: Hier kommen alle public keys von hosts rein, die Zertifikate abrufen wollen.
+'''/etc/ssh/authorized_keys_local''': Hier kommen alle public keys von hosts rein, die Zertifikate abrufen wollen.

← Nächstältere Version		Version vom 12. Januar 2017, 00:00 Uhr
Zeile 271:		Zeile 271:
	ingwer.freifunk-mwu.de firmware.freifunk-mwu.de ingwer.freifunk-mainz.de firmware.freifunk-mainz.de firmware.wiesbaden.freifunk.net ingwer.ffmwu.org firmware.ffmwu.org ingwer.ffmz.org firmware.ffmz.org ingwer.ffwi.org firmware.ffwi.org		ingwer.freifunk-mwu.de firmware.freifunk-mwu.de ingwer.freifunk-mainz.de firmware.freifunk-mainz.de firmware.wiesbaden.freifunk.net ingwer.ffmwu.org firmware.ffmwu.org ingwer.ffmz.org firmware.ffmz.org ingwer.ffwi.org firmware.ffwi.org
	</source>		</source>
		+
		+	==SSH konfigurieren==
		+
		+	/etc/ssh/sshd_config: Hier wird /etc/ssh/authorized_keys_local als zusätzliche Quelle für erlaubte public keys hinzugefügt.
		+	<source lang=bash>
		+	AuthorizedKeysFile %h/.ssh/authorized_keys /etc/ssh/authorized_keys_local
		+	</source>
		+
		+	/etc/ssh/sshd_config: Hier wird ein chroot jail für den Zertifikatsuser eingerichtet, so dass ein geleakter private key kein manipulieren des Cert_master zulässt. Die Permissions von /home/cert (wie gesetzt in hooks.sh) verhindern ein überschreiben der Zertifikate, internal-sftp erlaubt nur sftp über die Verbindung.
		+	<source lang=bash>
		+	Match User cert
		+	ChrootDirectory /home/cert/
		+	ForceCommand internal-sftp
		+	AllowTcpForwarding no
		+	PermitTunnel no
		+	X11Forwarding no
		+	</source>
		+
		+	/etc/ssh/authorized_keys_local: Hier kommen alle public keys von hosts rein, die Zertifikate abrufen wollen.