SSL-Zertifikate mit Let's Encrypt - Versionsgeschichte

Lukas: /* Nachtrag vom 19.10.2017 */

2023-06-27T17:08:40Z

Nachtrag vom 19.10.2017

← Nächstältere Version		Version vom 27. Juni 2023, 17:08 Uhr
Zeile 139:		Zeile 139:
	smtp_tls_security_level = may		smtp_tls_security_level = may
	Der Modus "may" bedeutet hier "Opportunistic TLS", d.h., dass eine TLS-Verbindung genutzt wird, sofern beide Server sich damit verstehen. Bietet der gegenübersprechende Server kein TLS an, wird auch keins genutzt. [http://www.postfix.org/postconf.5.html#smtp_tls_policy_maps Postfix-Doku]		Der Modus "may" bedeutet hier "Opportunistic TLS", d.h., dass eine TLS-Verbindung genutzt wird, sofern beide Server sich damit verstehen. Bietet der gegenübersprechende Server kein TLS an, wird auch keins genutzt. [http://www.postfix.org/postconf.5.html#smtp_tls_policy_maps Postfix-Doku]

			=== Nachtrag vom 27.06.2023 ===
			Es hätte mir vor sechs Jahren auch ohne Informatikstudium klar sein sollen, dass eine Verschlüsselung der Transportwege immer erfüllt sein muss. Daher muss es korrekt heißen:
			smtpd_tls_security_level = secure
			smtp_tls_security_level = secure

	== Cron-Job für die Aktualisierung ==		== Cron-Job für die Aktualisierung ==

Lukas: /* über Datei */

2023-06-27T17:06:04Z

über Datei

← Nächstältere Version		Version vom 27. Juni 2023, 17:06 Uhr
Zeile 66:		Zeile 66:
	webroot-path = /var/www/htdocs/		webroot-path = /var/www/htdocs/
	</syntaxhighlight>		</syntaxhighlight>

			Die Erstellung erfolgt dann über
			/usr/bin/certbot certonly --config /var/www/vhosts/meine-maildomain.de/letsencrypt.ini

	== Konfiguration Apache2 ==		== Konfiguration Apache2 ==

Lukas: /* Zertifikate erstellen */

2023-06-27T17:05:39Z

Zertifikate erstellen

← Nächstältere Version		Version vom 27. Juni 2023, 17:05 Uhr
Zeile 39:		Zeile 39:

	Der Speicherort ist derselbe wie beim obigen Aufruf.		Der Speicherort ist derselbe wie beim obigen Aufruf.


			=== über Datei ===
			Es ist ebenfalls möglich, die Zertifikate über eine Konfigurationsdatei erstellen zu lassen. Das hat zwei immense Vorteile gegenüber der beiden obigen Lösungen:
			# die Konfiguration ist über Shell manipulierbar, was beim automatischen Anlegen von VHost von Vorteil ist
			# bei Konfigurationsänderungen reicht die Anpassung der Datei, ohne dass der Parameterbefehl gespeichert sein muss

			Die Lösung hat Uwe Debacher in [[d:Überarbeitung_der_Apache-Konfiguration_für_Ubuntu_20.04#letsencrypt\|einem Artikel]] vorgestellt.

			<syntaxhighlight lang="ini" line>
			# Wir nutzen 4096 bit RSA key statt 2048
			rsa-key-size = 4096

			# allgemeine Angaben
			email = letsencrypt@meine-maildomain.de
			authenticator = webroot

			# Domains fuer die wir Zertifikate beantragen, die erste in
			# der liste legt den Hauptnamen fest. Alle Domains müssen beim
			# Aufruf erreichbar sein
			domains = lukasthiel.de, www.lukasthiel.de

			# Dies ist das Verzeichnis zur Domain, wo letsencrypt seinen Hash in
			# /.well-known/acme-challenge schreiben will. Der Pfad muss auf / enden
			# es muss in der vserver.conf stehen: Alias /.well-known /var/www/htdocs/.well-known
			webroot-path = /var/www/htdocs/
			</syntaxhighlight>

	== Konfiguration Apache2 ==		== Konfiguration Apache2 ==

Lukas: /* Konfiguration Postfix und Dovecot */

2018-02-12T14:03:13Z

Konfiguration Postfix und Dovecot

← Nächstältere Version		Version vom 12. Februar 2018, 14:03 Uhr
Zeile 103:		Zeile 103:
	sudo service postfix restart		sudo service postfix restart
	sudo service dovecot restart		sudo service dovecot restart

			=== Nachtrag vom 19.10.2017 ===
			Unsere Uni-Server erfordern eine verschlüsselte Verbindung zwischen Mailservern. Die o.g. Konfiguration nutzt zwar TLS für die Verbindung zwischen Client und Server, aber nicht für den Transport der Mails über den eigenen Server hinaus. Hierfür sind folgende Ergänzungen in der main.cf nötig
			smtpd_tls_security_level = may
			smtp_tls_security_level = may
			Der Modus "may" bedeutet hier "Opportunistic TLS", d.h., dass eine TLS-Verbindung genutzt wird, sofern beide Server sich damit verstehen. Bietet der gegenübersprechende Server kein TLS an, wird auch keins genutzt. [http://www.postfix.org/postconf.5.html#smtp_tls_policy_maps Postfix-Doku]

	== Cron-Job für die Aktualisierung ==		== Cron-Job für die Aktualisierung ==

Lukas: /* Konfiguration Apache2 */

2017-01-07T22:22:20Z

Konfiguration Apache2

← Nächstältere Version		Version vom 7. Januar 2017, 22:22 Uhr
Zeile 41:		Zeile 41:

	== Konfiguration Apache2 ==		== Konfiguration Apache2 ==
	Für Apache2 ist folgende Konfiguration aufzunehmen:		Für Apache2 ist folgende Konfiguration aufzunehmen (example.org muss natürlich durch den entsprechenden Hostnamen ersetzt werden):
	<VirtualHost *:443>		<VirtualHost *:443>
	ServerAdmin webmaster@example.org		ServerAdmin webmaster@example.org
Zeile 49:		Zeile 49:
	SSLCertificateKeyFile /etc/letsencrypt/live/example.org/privkey.pem		SSLCertificateKeyFile /etc/letsencrypt/live/example.org/privkey.pem
	SSLCertificateChainFile /etc/letsencrypt/live/example.org/chain.pem		SSLCertificateChainFile /etc/letsencrypt/live/example.org/chain.pem
	DocumentRoot /var/www/vhosts/example.org/~~httpdocs~~		DocumentRoot /var/www/vhosts/example.org/htdocs
	<Directory /var/www/vhosts/example.org/~~httpdocs~~/>		<Directory /var/www/vhosts/example.org/htdocs/>
	Options FollowSymLinks MultiViews		Options FollowSymLinks MultiViews
	AllowOverride All		AllowOverride All

Lukas: /* über Parameter */

2016-06-20T11:48:24Z

über Parameter

← Nächstältere Version		Version vom 20. Juni 2016, 11:48 Uhr
Zeile 36:		Zeile 36:
	=== über Parameter ===		=== über Parameter ===
	Der Aufruf lässt sich auch direkt über einen parametersteuerten Befehl ausführen. Dafür führt man aus dem letsencrypt-Verzeichnis folgenden Befehl aus:		Der Aufruf lässt sich auch direkt über einen parametersteuerten Befehl ausführen. Dafür führt man aus dem letsencrypt-Verzeichnis folgenden Befehl aus:
	sudo ./letsencrypt-auto --rsa-key-size 4096 certonly --webroot /var/www/vhosts/lukasthiel.de/htdocs/ -d lukasthiel.de -d www.lukasthiel.de		sudo ./letsencrypt-auto --rsa-key-size 4096 certonly --webroot -w /var/www/vhosts/lukasthiel.de/htdocs/ -d lukasthiel.de -d www.lukasthiel.de

	Der Speicherort ist derselbe wie beim obigen Aufruf.		Der Speicherort ist derselbe wie beim obigen Aufruf.

Lukas: /* über Parameter */

2016-06-20T11:46:46Z

über Parameter

← Nächstältere Version		Version vom 20. Juni 2016, 11:46 Uhr
Zeile 36:		Zeile 36:
	=== über Parameter ===		=== über Parameter ===
	Der Aufruf lässt sich auch direkt über einen parametersteuerten Befehl ausführen. Dafür führt man aus dem letsencrypt-Verzeichnis folgenden Befehl aus:		Der Aufruf lässt sich auch direkt über einen parametersteuerten Befehl ausführen. Dafür führt man aus dem letsencrypt-Verzeichnis folgenden Befehl aus:
	sudo .~~/letsencrypt~~/letsencrypt-auto --rsa-key-size 4096 certonly --webroot /var/www/vhosts/lukasthiel.de/htdocs/ -d lukasthiel.de -d www.lukasthiel.de		sudo ./letsencrypt-auto --rsa-key-size 4096 certonly --webroot /var/www/vhosts/lukasthiel.de/htdocs/ -d lukasthiel.de -d www.lukasthiel.de

	Der Speicherort ist derselbe wie beim obigen Aufruf.		Der Speicherort ist derselbe wie beim obigen Aufruf.

Lukas: /* Links */

2016-06-20T11:44:45Z

Links

← Nächstältere Version		Version vom 20. Juni 2016, 11:44 Uhr
Zeile 114:		Zeile 114:
	* https://thomas-leister.de/internet/anleitung-fuer-lets-encrypt-kostenlose-tls-zertifikate-fuer-alle/		* https://thomas-leister.de/internet/anleitung-fuer-lets-encrypt-kostenlose-tls-zertifikate-fuer-alle/
	* https://kofler.info/lets-encrypt-zertifikate-fuer-web-und-mail-unter-ubuntu-16-04/		* https://kofler.info/lets-encrypt-zertifikate-fuer-web-und-mail-unter-ubuntu-16-04/
			* https://www.debacher.de/ublog/2016/06/letsencrypt/

Lukas am 20. Juni 2016 um 11:43 Uhr

2016-06-20T11:43:52Z

← Nächstältere Version		Version vom 20. Juni 2016, 11:43 Uhr
Zeile 17:		Zeile 17:

	== Zertifikate erstellen ==		== Zertifikate erstellen ==
			=== mit Dialog ===
	Let's Encrypt bietet es an, vollautomatisch Zertifikate zu generieren und gleich in die Apache-Konfiguration aufzunehmen. Dafür reicht ein parameterloser Aufruf des Programms-. Wer nur die Zertifikate und keine Konfiguration braucht, kann Let's Encrypt mit folgendem Aufruf starten:		Let's Encrypt bietet es an, vollautomatisch Zertifikate zu generieren und gleich in die Apache-Konfiguration aufzunehmen. Dafür reicht ein parameterloser Aufruf des Programms-. Wer nur die Zertifikate und keine Konfiguration braucht, kann Let's Encrypt mit folgendem Aufruf starten:
	sudo ./letsencrypt-auto --rsa-key-size 4096 certonly		sudo ./letsencrypt-auto --rsa-key-size 4096 certonly
Zeile 32:		Zeile 33:

	Damit sind die Zertifikate erstellt.		Damit sind die Zertifikate erstellt.

			=== über Parameter ===
			Der Aufruf lässt sich auch direkt über einen parametersteuerten Befehl ausführen. Dafür führt man aus dem letsencrypt-Verzeichnis folgenden Befehl aus:
			sudo ./letsencrypt/letsencrypt-auto --rsa-key-size 4096 certonly --webroot /var/www/vhosts/lukasthiel.de/htdocs/ -d lukasthiel.de -d www.lukasthiel.de

			Der Speicherort ist derselbe wie beim obigen Aufruf.

	== Konfiguration Apache2 ==		== Konfiguration Apache2 ==

Lukas am 16. Juni 2016 um 07:51 Uhr

2016-06-16T07:51:51Z

← Nächstältere Version		Version vom 16. Juni 2016, 07:51 Uhr
Zeile 102:		Zeile 102:

	Let's Encrypt überspringt dabei Zertifikate, die noch gültig sind und aktualisiert nur diejenigen, die abgelaufen sind.		Let's Encrypt überspringt dabei Zertifikate, die noch gültig sind und aktualisiert nur diejenigen, die abgelaufen sind.

			== Links ==
			* https://letsencrypt.org/
			* https://thomas-leister.de/internet/anleitung-fuer-lets-encrypt-kostenlose-tls-zertifikate-fuer-alle/
			* https://kofler.info/lets-encrypt-zertifikate-fuer-web-und-mail-unter-ubuntu-16-04/