Cómo proteger el servidor web Nginx con Lets Encrypt en CentOS

En este artículo, aprenderemos cómo proteger el servidor web Nginx con Let's Encrypt en CentOS.

Let's Encrypt es una autoridad de certificación (CA) que proporciona cifrado SSL / TLS sin cargo y el certificado es válido por 90 días, por lo que la renovación puede realizarse en cualquier momento. Para obtener un certificado para el dominio de su sitio web de Let's Encrypt, debe demostrar control sobre el dominio. Recomendamos que utilice el cliente Certbot. Puede automatizar la emisión y la instalación de certificados sin tiempo de inactividad. Es fácil de usar, funciona en muchos sistemas operativos.

Prerrequisitos

Un servidor dedicado o servidor en la nube instalado en CentOS 7 y Nginx con acceso root o no root (para no root, use "sudo ').
Dominio registrado en el que desea obtener el certificado.
Un registro A de DNS que apunta su dominio al dirección IP pública del servidor.

1. Instale el repositorio de EPEL:

# yum install epel-release -y

2. A continuación, instale el paquete certbot-nginx:

# yum install certbot-nginx -y

El cliente de certbot Let's Encrypt ya está instalado y listo para usar.

3. Obtención de un certificado

Obtenga un certificado usando el comando certbot. El complemento Nginx se encargará de reconfigurar Nginx y volver a cargar el archivo config.

# certbot --nginx -d yoursite.com -d www.yousite.com

Al ejecutar certbot por primera vez, se le pedirá que ingrese una dirección de correo electrónico y acepte los términos del servicio. A continuación, certbot se comunicará con el servidor Let's Encrypt.
Después de la verificación exitosa, certbot le preguntará cómo le gustaría configurar sus ajustes HTTPS:

Output
Please choose whether HTTPS access is required or optional.
-------------------------------------------------------------------------------
1: Easy - Allow both HTTP and HTTPS access to these sites
2: Secure - Make all requests redirect to secure HTTPS access
-------------------------------------------------------------------------------
Select the appropriate number [1-2] then [enter] (press 'c' to cancel):

Utilice cualquier opción según sus requisitos y presione enter.

Eso es todo, el siguiente mensaje le indica que el proceso se realizó con éxito y el certificado está almacenado.

Output
IMPORTANT NOTES:
- Congratulations! Your certificate and chain have been saved at
/etc/letsencrypt/live/yousite.com/fullchain.pem. Your cert will
expire on 2020-08-03. To obtain a new or tweaked version of this
certificate in the future, simply run certbot again with the
"certonly' option. To non-interactively renew *all* of your
certificates, run "certbot renew'
- Your account credentials have been saved in your Certbot
configuration directory at /etc/letsencrypt. You should make a
secure backup of this folder now. This configuration directory will
also contain certificates and private keys obtained by Certbot so
making regular backups of this folder is ideal.
- If you like Certbot, please consider supporting our work by:

Donating to ISRG / Let’s Encrypt: https://letsencrypt.org/donate
Donating to EFF: https://eff.org/donate-le

Intente recargar su sitio web usando https: //

4. Configure cron para la renovación automática:

Los certificados de Let's Encrypt solo son válidos durante noventa días. Cron comprobará si el certificado está caducado y lo renovará automáticamente.

Ejecute el siguiente comando para editar el archivo crontab.

# crontab -e

Su editor de texto abrirá el crontab predeterminado. Pegue la siguiente línea, luego guárdela y ciérrela:

15 3 * * * /usr/bin/certbot renew --quiet

La parte 15 3 * * * de esta línea significa "ejecutar el siguiente comando a las 3:15 am, todos los días". Puede elegir en cualquier momento.

Ahora, cron ejecutará este comando diariamente y renovará automáticamente todos los certificados que estén instalados.

En este artículo, hemos aprendido cómo nuestros ingenieros de soporte protegen el servidor web Nginx con Let's Encrypt en CentOS.