0

Стоит задача сгенерить несколько поддоменов, на каждый из них нужен сертификат.

В базе данных хранятся названия, исходя из которых это нужно сделать, и все они (названия) в кирилице. Пусть будет блог, новости и так далее. Поддоменов много, по этому руками это делать не комильфо.

Предполагаю, что нужен bash скрипт, который заменит DOMAIN_NAME в nginx конфиге. Примерно так:

sed -i "s/my.example.com/$DOMAIN_NAME/g" /etc/nginx/nginx.conf

Но при этом нужно название перевести в punycode, пока не понимаю как это верно сделать.

И сразу же встаёт вопрос:

Нужен ли отдельный nginx конфиг под каждый поддомен. Конфиг один от другого не будет отличаться ничем, кроме server_name, ssl_certificate, ssl_certificate_key Если нет, то нужно ещё и генерить по конфигу, что не хотелось бы.

Далее, нужно сгенерить сертификат, я это делал при помощи letsencrypt-auto certonly --standalone), но в этом случае, приходилось тормозить nginx, т.к. standalone требует свободных 443 и 80 портов.

Если не тормозить, то нужно юзать letsencrypt-auto certonly --webroot или я не правильно понимаю документацию ?

В общем, задача не кажется очень простой. Скрипт нужно писать и проверять на правильность выполнения, при том учёте, что использовать его нужно всего один раз.

Возможно кто-то уже решал подобную задачу и имеет какое-то решение, или по крайней мере подскажет, как сделать более элегантно.

1 ответ 1

2

нужно название перевести в punycode

можно воспользоваться, например, программой idn (имеется в репозиториях всех популярных дистрибутивов):

$ idn домен.рф под.домен.org
xn--d1acufc.xn--p1ai
xn--d1atc.xn--d1acufc.org

Нужен ли отдельный nginx конфиг под каждый поддомен

насколько я знаю, ситуация с 2013 года не изменилась, и использовать переменные типа $server_name в директивах типа ssl_certificate невозможно: надо создавать отдельные секции server под каждый [под]домен (в одном файле или в нескольких — не имеет значения).

Конфиг один от другого не будет отличаться ничем, кроме server_name, ssl_certificate, ssl_certificate_key

общую часть секции server можно вынести в отдельный файл и подключать директивой include (если путь не абсолютный, то он «отсчитывается» от каталога, в котором находится «глобальный» конф.файл).

Далее, нужно сгенерить сертификат, я это делал при помощи letsencrypt-auto certonly --standalone, но в этом случае, приходилось тормозить nginx, т.к. standalone требует свободных 443 и 80 портов

вообще для «обратного звонка» серверы letsencrypt-а используют только 80-й порт (что более чем логично — ведь сертификат-то в этот момент ещё не выдан) и «стучатся» по адресу http://ваш.домен/.well-known/acme-challenge/файл-который-создаёт-клиент-letsencrypt-а. т.е., нужна секция секция location внутри секции server, слуающей 80-й порт, примерно такого вида (она, кстати, универсальна, и можно также подключать её из общего для всех доменов файла директивой include):

location /.well-known/acme-challenge {
  alias /путь/к/каталогу/где/клиент/letsencrypt/будет/создавать/проверочные/файлы;
}

можете глянуть на седьмой пункт моей инструкции по использованию одного из множества клиентов (сама инструкция чуть устарела — автор переименовал клиента, но ссылка на проект рабочая — github перебрасывает на новое имя — dehydrated)

Скрипт нужно писать и проверять на правильность выполнения, при том учёте, что использовать его нужно всего один раз.

если один раз — так незачем писать. просто сгенерируйте нужный конфигурационный файл, да и всё.

типа:

$ echo 'select поле-с-именем-домена from таблица' | mysql -N > список.доменов
$ cat список.доменов | idn > список.в.кодировке.inda
$ cat список.в.кодировке.inda | while read d; do \
echo -e "server {\n server_name \"$d\";\n include файл;\n \
ssl_certificate \"/путь/к/$d.crt\";\n \
ssl_certificate_key \"/путь/к/$d.key\";\n}\n\n"; \
done > файл.с.секциями.server

можно и вообще однострочник сделать, если убрать сохранение промежуточных файлов, и связать команды конвейерами |.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.