Asegure nginx con vamos a cifrar en centos 7

Let's Encrypt es una autoridad de certificación gratuita y abierta desarrollada por Internet Security Research Group (ISRG). Hoy en día, casi todos los navegadores confían en los certificados emitidos por Let's Encrypt.

En este tutorial, le proporcionaremos instrucciones paso a paso sobre cómo asegurar su Nginx con Let's Encrypt usando la herramienta certbot en CentOS 7.

Prerrequisitos

Asegúrese de cumplir con los siguientes requisitos previos antes de continuar con este tutorial:

• Tiene un nombre de dominio que apunta a la IP de su servidor público. En este tutorial usaremos example.com . Ha habilitado el repositorio EPEL e instalado Nginx siguiendo Cómo instalar Nginx en CentOS 7.

Instalar Certbot

Certbot es una herramienta fácil de usar que puede automatizar las tareas para obtener y renovar certificados Let's Encrypt SSL y configurar servidores web.

Para instalar el paquete certbot desde el repositorio EPEL, ejecute:

sudo yum install certbot

Generar grupo fuerte Dh (Diffie-Hellman)

El intercambio de claves Diffie – Hellman (DH) es un método de intercambio seguro de claves criptográficas a través de un canal de comunicación no seguro.

Genere un nuevo conjunto de parámetros DH de 2048 bits escribiendo el siguiente comando:

sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048 Si lo desea, puede cambiar el tamaño hasta 4096 bits, pero en ese caso, la generación puede tomar más de 30 minutos dependiendo de la entropía del sistema.

Obtención de un certificado SSL Let's Let's Encrypt

Para obtener un certificado SSL para nuestro dominio, utilizaremos el complemento Webroot que funciona creando un archivo temporal para validar el dominio solicitado en el ${webroot-path}/.well-known/acme-challenge . El servidor Let's Encrypt realiza solicitudes HTTP al archivo temporal para validar que el dominio solicitado se resuelva en el servidor donde se ejecuta certbot.

Para hacerlo más simple, vamos a asignar todas las solicitudes HTTP para .well-known/acme-challenge a un solo directorio, /var/lib/letsencrypt .

Los siguientes comandos crearán el directorio y lo harán escribible para el servidor Nginx.

sudo mkdir -p /var/lib/letsencrypt/.well-known sudo chgrp nginx /var/lib/letsencrypt sudo chmod g+s /var/lib/letsencrypt

Para evitar duplicar el código, cree los siguientes dos fragmentos que vamos a incluir en todos nuestros archivos de bloque de servidor Nginx:

sudo mkdir /etc/nginx/snippets /etc/nginx/snippets/letsencrypt.conf

location ^~ /.well-known/acme-challenge/ { allow all; root /var/lib/letsencrypt/; default_type "text/plain"; try_files $uri =404; } /etc/nginx/snippets/ssl.conf

ssl_dhparam /etc/ssl/certs/dhparam.pem; ssl_session_timeout 1d; ssl_session_cache shared:SSL:50m; ssl_session_tickets off; ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS'; ssl_prefer_server_ciphers on; ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s; resolver_timeout 30s; add_header Strict-Transport-Security "max-age=15768000; includeSubdomains; preload"; add_header X-Frame-Options SAMEORIGIN; add_header X-Content-Type-Options nosniff;

El fragmento anterior incluye las astilladoras recomendadas por Mozilla, habilita el engrapado OCSP, HTTP Strict Transport Security (HSTS) y aplica pocos encabezados HTTP centrados en la seguridad.

Una vez que se crean los fragmentos, abra el bloque del servidor de dominio e incluya el fragmento letsencrypt.conf como se muestra a continuación:

/etc/nginx/conf.d/example.com.conf

server { listen 80; server_name example.com www.example.com; include snippets/letsencrypt.conf; }

Vuelva a cargar la configuración de Nginx para que los cambios surtan efecto:

sudo systemctl reload nginx

Ahora puede ejecutar Certbot con el complemento webroot y obtener los archivos de certificado SSL para su dominio emitiendo:

sudo certbot certonly --agree-tos --email [email protected] --webroot -w /var/lib/letsencrypt/ -d example.com -d www.example.com

Si el certificado SSL se obtiene con éxito, certbot imprimirá el siguiente mensaje:

IMPORTANT NOTES: - Congratulations! Your certificate and chain have been saved at: /etc/letsencrypt/live/example.com/fullchain.pem Your key file has been saved at: /etc/letsencrypt/live/example.com/privkey.pem Your cert will expire on 2018-06-11. To obtain a new or tweaked version of this certificate in the future, simply run certbot again. To non-interactively renew *all* of your certificates, run "certbot renew" - If you like Certbot, please consider supporting our work by: Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate Donating to EFF:

Ahora que tiene los archivos de certificado, puede editar su bloque de servidor de dominio de la siguiente manera:

/etc/nginx/conf.d/example.com.conf

server { listen 80; server_name www.example.com example.com; include snippets/letsencrypt.conf; return 301 https://$host$request_uri; } server { listen 443 ssl http2; server_name www.example.com; ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem; include snippets/ssl.conf; include snippets/letsencrypt.conf; return 301 https://example.com$request_uri; } server { listen 443 ssl http2; server_name example.com; ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem; include snippets/ssl.conf; include snippets/letsencrypt.conf; #… other code }

Con la configuración anterior, estamos forzando HTTPS y redirigiendo la versión www a la versión no www.

Finalmente, vuelva a cargar el servicio Nginx para que los cambios surtan efecto:

sudo systemctl reload nginx

Renovación automática del certificado SSL Let's Encrypt

Los certificados de Let's Encrypt son válidos por 90 días. Para renovar automáticamente los certificados antes de que caduquen, crearemos un cronjob que se ejecutará dos veces al día y renovará automáticamente cualquier certificado 30 días antes de su vencimiento.

Ejecute el comando crontab para crear un nuevo cronjob:

sudo crontab -e

Pegue las siguientes líneas:

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew --renew-hook "systemctl reload nginx"

Guarde y cierre el archivo.

Para probar el proceso de renovación, puede usar el comando certbot seguido del interruptor --dry-run :

sudo certbot renew --dry-run

Si no hay errores, significa que el proceso de renovación de la prueba fue exitoso.

Conclusión

En este tutorial, utilizó el cliente Let's Encrypt, certbot, para descargar certificados SSL para su dominio. También ha creado fragmentos de Nginx para evitar duplicar el código y ha configurado Nginx para usar los certificados. Al final del tutorial, ha configurado un cronjob para la renovación automática de certificados.

nginx centos encriptemos certbot ssl

Esta publicación es parte de la instalación de la pila LEMP en la serie CentOS 7.

Otras publicaciones en esta serie:

• Cómo instalar Nginx en CentOS 7 • Asegure Nginx con Let's Encrypt en CentOS 7 • Instale MariaDB en CentOS 7 • Instale PHP 7 en CentOS 7 • Cómo configurar bloques de servidor Nginx en CentOS 7