Tworzenie certyfikatu wildcard Let's Encrypt
W tym artykule wyjaśniamy, jak utworzyć bezpłatny certyfikat wildcard Let’s Encrypt.
Zalecam użycie certyfikatu, który jest ważny dłużej niż 3 miesiące, na przykład certyfikatu Let’s Encrypt. W Sophos Central importu nie da się obecnie jeszcze zautomatyzować. Często jednak najpierw chce się wypróbować rozwiązanie ZTNA w 30-dniowej fazie testowej. Jeśli nie masz już własnego certyfikatu wildcard, Let’s Encrypt dobrze sprawdza się w takim scenariuszu.
Instalacja narzędzia Let’s Encrypt Certbot
Zanim będzie można utworzyć bezpłatny certyfikat wildcard, trzeba zainstalować Certbota. W tym przykładzie używam serwera Ubuntu. Aby zainstalować Certbota, wykonaj następujące polecenia:
sudo apt update
sudo apt-get install letsencrypt
Generowanie certyfikatu SSL wildcard Let’s Encrypt
Po instalacji Certbota można rozpocząć tworzenie certyfikatów.
Dla certyfikatów wildcard Let’s Encrypt wymaga weryfikacji przez DNS. Dzięki temu sprawdzane jest, czy naprawdę masz prawo wystawić certyfikat dla danej domeny.
Aby utworzyć certyfikat wildcard dla domeny *.avanet.com, wykonujemy następujące polecenie:
sudo certbot certonly --manual --preferred-challenges=dns --email webmaster@avanet.com --server https://acme-v02.api.letsencrypt.org/directory --agree-tos -d avanet.com -d *.avanet.com
| Opcja | Opis |
|---|---|
| certonly | Wystawienie lub odnowienie certyfikatu bez jego instalowania |
| –manual | Ręczny tryb uzyskania certyfikatu |
| –preferred-challenges=dns | Użycie DNS do potwierdzenia własności domeny |
| –server | Serwer używany do wygenerowania certyfikatu |
| –agree-tos | Akceptacja warunków serwera ACME |
| -d | Domena, dla której ma zostać utworzony certyfikat |
Po wykonaniu powyższego polecenia trzeba jeszcze potwierdzić własność domeny. W tym celu należy utworzyć rekord TXT na serwerach DNS.
Po pozytywnej weryfikacji certyfikaty zostaną wygenerowane i będą dostępne pod następującą ścieżką:
/etc/letsencrypt/live/avanet.com/
Później potrzebne będą pliki cert.pem i privkey.pem. Drugi z nich trzeba jeszcze zmienić z privkey.pem na privkey.key.