Let’s Encrypt

SSL/TLS, HTTPS 암호화를 위한 인증서를 무료로 발급 가능. mozila, cisco, chrome 등이 참여하는 opensource

certbot client 설치

git clone 을 이용하거나 소스를 내려받아 바로 사용할 수 있다.

git clone https://github.com/letsencrypt/letsencrypt

또는

wget https://github.com/certbot/certbot/archive/master.zip

명령으로 소스를 내려받아 압축을 풀고 해당 디렉토리로 들어가서, letsencrypt-auto 쉘 스크립트를 실행하면 sudoer 또는 root 권한이 있는 사용자인지 확인한 뒤 의존성 패키지를 엄청 많이 설치한다.

인증서 발급

아래 명령으로, certbot 을 따로 별도로 사용하지 않고, 인증서만 발급받을 수 있다. 3개월 동안만 사용 가능하기 때문에 만료되면 다시 발급받아야 한다.

./letsencrypt-auto certonly --manual

위 명령을 실행하고 메일 주소 입력한 다음 인증서를 발급하고자 하는 호스트를 입력한다.

# ./letsencrypt-auto certonly --manual
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator manual, Installer None
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel): test.oboki.net ## 인증서를 발급하고자 하는 호스트의 DNS 입력
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for test.oboki.net

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
NOTE: The IP of this machine will be publicly logged as having requested this
certificate. If you're running certbot in manual mode on a machine that is not
your server, please ensure you're okay with that.

Are you OK with your IP being logged?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: Y

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Create a file containing just this data:

10NuZDl5RIqDWoCvxuGHaYejmdQQ.eiDzGz2at5s22XfrQibhSpllBGzTkt0VeAY ## 아래 URL 경로 내 입력되어야 하는 데이터. 임시 인증 키

And make it available on your web server at this URL:

http://test.oboki.net/.well-known/acme-challenge/UPlp10NuZDl5RITitxrvTbbInqDWoCvxuGHaYejmdQQ ## -> letsencrypt 가 접근할 URL 경로. 해당 웹 서비스가 신청자의 소유임을 확인

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue

정상적으로 해당 URL에 대한 검증이 완료되면 /etc/letsencrypt/live/${MYDOMAINNAME} 경로에 인증서를 발급해준다.

Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/test.oboki.net/fullchain.pem ## -> SSLCertificateFile
   Your key file has been saved at:
   /etc/letsencrypt/live/test.oboki.net/privkey.pem ## -> SSLCertificateKeyFile
   Your cert will expire on 2018-12-24. To obtain a new or tweaked
   version of this certificate in the future, simply run
   letsencrypt-auto again. To non-interactively renew *all* of your
   certificates, run "letsencrypt-auto renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

여러 서브도메인에 대한 인증서를 한번에 발급하려면 아래와 같이 인증을 하면 된다.

./letsencrypt-auto certonly --manual \
-d www.example.com \
-d cloud.example.com \
-d blog.example.com