У меня есть домен example.com
, который защищён с помощью Let's Encrypt по SSL. А теперь я хочу добавить к своему домену ещё и несколько поддоменов. Например, mail.example.com
и search.example.com
. Как мне это сделать?
-
Выписать для каждого свой сертификат. Можно, конечно, выписать один на все, но обычно в этом нет никакого смысла.– etki15 фев 2017 в 17:49
3 ответа
У Letsencrypt в FAQ написано что у них пока нет в планах выпускать wildcard сертификаты (т.е. для *.example.com).
Will Let’s Encrypt issue wildcard certificates?
We currently have no plans to do so, but it is a possibility in the future. Hopefully wildcards aren’t necessary for the vast majority of our potential subscribers because it should be easy to get and manage certificates for all subdomains.
Поэтому можно либо получать сертификат для каждого поддомена тем же самым способом, которым был получен сертификат для основного, либо создать сертификат сразу для нескольких доменных имён.
Например, в документации для плагина webroot
есть пример:
certbot certonly --webroot \
-w /var/www/example/ -d www.example.com -d example.com \
-w /var/www/other -d other.example.net -d another.other.example.net
Этой командой можно создать один сертификат сразу для нескольких доменов. Здесь, /var/www/example/
- это webroot для доменов www.example.com
и example.com
, а /var/www/other
- для other.example.net
и another.other.example.net
Но у LetsEncrypt есть ограничения на использования одного сертификата для нескольких доменных имён. Можно создать один сертификат для максимум 100 доменов.
Добавить поддомены к существующему сертификату не получится. Нужно сначала удалить сертификат (см. команды revoke
и delete
), а затем создать новый сертификат сразу для нескольких доменов
-
wildcard в данном случае не нужен, Let's Encrypt позволяет сделать один сертификат на сотню поддоменов сразу 3 июл 2017 в 21:29
-
-
По вашей же ссылке на FAQ ровно на один вопрос выше :D Правда, сотня там не упоминается, сейчас поищу где видел 3 июл 2017 в 21:43
-
1Нашёл, про сотню рядышком letsencrypt.org/docs/rate-limits — «If you have a lot of subdomains, you may want to combine them into a single certificate, up to a limit of 100 Names per Certificate.» 3 июл 2017 в 21:45
-
@andreymal спасибо за ссылку, я нашёл всю остальную документацию и обновил ответ 4 июл 2017 в 8:01
Получать сертификат лучше с помощью одного из рекомендованных клиентов. Моим выбором стал GetSSL. Это простой bash скрипт, который умеет сам себя обновлять. При работе использует CLI openssl, и значит нет жесткой привязки к версии.
GetSSL автоматизирует процесс получения и продления сертификата с помощью нескольких команд. Например, чтобы получить сертификат для домена domain.tld:
srv ~ # getssl -c domain.tld
creating main config file /root/.getssl/getssl.cfg
Making domain directory - /root/.getssl/domain.tld
creating domain config file in /root/.getssl/domain.tld/getssl.cfg
srv ~ # getssl domain.tld
Первая команда добавляет домен в список для получения (выполняется единожды), вторая - для получения сертификата.
В случае поддоменов (в том числе www) в файле конфигурации нужно просто их перечислить через запятую:
# Additional domains - this could be multiple domains / subdomains in a comma separated list
# Note: this is Additional domains - so should not include the primary domain.
SANS=www.example.com,mail.example.com,search.example.com,
В этой статье можно подробнее узнать о процессе получения сертификата с помощью GetSSL.
Инструкция для Apache
Допустим, что виртуальные хосты лежат по следующему пути:
/home/ubuntu/.config/virtual-hosts.conf
и представляют собой следующее:
<VirtualHost *:80>
ServerName example.com
DocumentRoot /home/ubuntu/example.com
<Directory /home/ubuntu/example.com>
Require all granted
AllowOverride all
</Directory>
</VirtualHost>
<VirtualHost *:80>
ServerName test.example.com
DocumentRoot /home/ubuntu/test.example.com
<Directory /home/ubuntu/test.example.com>
Require all granted
AllowOverride all
</Directory>
</VirtualHost>
Добавляем сертификат для домена example.com
:
sudo certbot --apache -d example.com
Что получаем в результате?
1. В /home/ubuntu/.config
Certbot создаст файл virtual-hosts-le-ssl.conf
со следующим содержимым:
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerName example.com
DocumentRoot /home/ubuntu/example.com
<Directory /home/ubuntu/example.com>
Require all granted
AllowOverride all
</Directory>
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
</IfModule>
2. В /etc/apache2/sites-enabled
Certbot создаст ссылку на вышеуказанный файл:
/etc/apache2/sites-enabled
├── 000-default.conf -> ../sites-available/000-default.conf
└── virtual-hosts-le-ssl.conf -> /home/ubuntu/.config/virtual-hosts-le-ssl.conf
3. Если мы ответили 2
на вопрос перенаправлять ли трафик с http
на https
, то содержимое файла /home/ubuntu/.config/virtual-hosts.conf
станет следующим (добавится редирект):
<VirtualHost *:80>
ServerName example.com
DocumentRoot /home/ubuntu/example.com
<Directory /home/ubuntu/example.com>
Require all granted
AllowOverride all
</Directory>
RewriteEngine on
RewriteCond %{SERVER_NAME} =example.com
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
</VirtualHost>
<VirtualHost *:80>
ServerName test.example.com
DocumentRoot /home/ubuntu/test.example.com
<Directory /home/ubuntu/test.example.com>
Require all granted
AllowOverride all
</Directory>
</VirtualHost>
Добавляем сертификат для поддомена test.example.com
:
sudo certbot --apache -d test.example.com
Что делаем дальше?
Или я просто не знаю, что подразумевает Certbot под своими действиями (так как документацию не читал), или это баг; в любом случае, если оставить всё по дефолту, то ничего не работает (по крайней мере у меня), так как он (Certbot) делает какой-то трэш в конфигурационных файлах.
1. Заменяем содержимое файла /home/ubuntu/.config/virtual-hosts-le-ssl.conf
на это:
<IfModule mod_ssl.c>
<VirtualHost *:443>
ServerName example.com
DocumentRoot /home/ubuntu/example.com
<Directory /home/ubuntu/example.com>
Require all granted
AllowOverride all
</Directory>
SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
<VirtualHost *:443>
ServerName test.example.com
DocumentRoot /home/ubuntu/test.example.com
<Directory /home/ubuntu/test.example.com>
Require all granted
AllowOverride all
</Directory>
SSLCertificateFile /etc/letsencrypt/live/test.example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/test.example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>
</IfModule>
2. Заменяем содержимое файла /home/ubuntu/.config/virtual-hosts.conf
на это:
<VirtualHost *:80>
ServerName example.com
DocumentRoot /home/ubuntu/example.com
<Directory /home/ubuntu/example.com>
Require all granted
AllowOverride all
</Directory>
RewriteEngine on
RewriteCond %{SERVER_NAME} =example.com
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
</VirtualHost>
<VirtualHost *:80>
ServerName test.example.com
DocumentRoot /home/ubuntu/test.example.com
<Directory /home/ubuntu/test.example.com>
Require all granted
AllowOverride all
</Directory>
RewriteEngine on
RewriteCond %{SERVER_NAME} =test.example.com
RewriteRule ^ https://%{SERVER_NAME}%{REQUEST_URI} [END,NE,R=permanent]
</VirtualHost>
Все вышеописаные действия делал для своего сервера на момент написания ответа.