Seit dem 03. Dezember 2015 läuft die offene Beta-Phase von “Let’s Encrypt”
Die neue Zertifizierungsstelle (CA) liefert kostenlose SSL-Zertifikate. Diese müssen jedoch alle 90 Tage erneuert werden (Über Sinn und Unsinn dieses Limits lässt sich streiten)
Sponsoren sind unter Anderem Cisco, Mozilla und Facebook.
Zur Erstellung der Zertifikate gibt es einen offiziellen Client, den ich heute vorstellen möchte.
Zunächst muss dieser Installiert werden:
cd /opt
git clone https://github.com/letsencrypt/letsencrypt
cd letsencrypt
Danach muss der Bootstrapper aufgerufen werden, der dann die Depencencies prüft und die Python-Umgebung einrichtet:
/opt/letsencrypt/letsencrypt-auto --help
Zur Verifizierung der Domain (z.B. mailserverblog.de) ruft Letsencrypt eine Verifikations-URL auf, die z.B. so aussieht:
http://mailserverblog.de.www148.your-server.de/.well-known/acme-challenge/xhde4WMKAXXTXKQXyftUqUIjy_02TPhfaRFCmGffqf4
Die Verifikation erfolgt entweder über Port 80 oder Port 443. Dieser Port ist in der Regel schon durch einen Webserver (oder das Webmail) belegt.
Der einfachste Weg ist daher, diese Dienste kurz zu beenden. Der Let’s Encrypt Client bringt einen eigenen Webserver mit.
Der Aufruf zum Ausstellen eines Zertifikats sieht daher wie folgt aus:
/opt/letsencrypt/letsencrypt-auto certonly --standalone --email postmaster@mailserverblog.de.www148.your-server.de -d mailserverblog.de
Nach diesem Aufruf finden sich die Zertifikate in folgendem Ordner:
/etc/letsencrypt/live/mailserverblog.de
- Das Zertifikat: cert.pem
- Das Zertifikat inkl. Intermediate-Zertifikaten: chain.pem
- Alle Zertifikate kombiniert: fullchain.pem
- Privater Schlüssel: privkey.pem
AXIGEN benötigt ein PEM-File, das auch den privaten Schlüssel beinhaltet.
cat /etc/letsencrypt/live/mailserverblog.de/privkey.pem /etc/letsencrypt/live/mailserverblog.de/cert.pem > /var/opt/axigen/encrypt.pem
Das encrypt.pem kann dann in AXIGEN im SSL-Listener hinterlegt werden. Wie man AXIGEN mit einer A+ Verschlüsselung versieht, steht hier .
Das Prozedere zur Erneuerung folgt in einem weiteren Artikel.