Инструкция по получению бесплатного SSL-сертификата от Let's Encrypt для сервера с «РОСЧАТ»

Для установки SSL-сертификата на ваш сервер с «РосЧат» необходимо выполнить следующие действия:

Установить EPEL репозиторий с помощью команды: sudo yum install epel-release -y

Установить сервис snapd: sudo yum install snapd -y

Добавить в автозапуск и активировать сервис snapd: sudo systemctl enable --now snapd.socket

Создать символьную ссылку для snapd: sudo ln -s /var/lib/snapd/snap /snap

Установить модуль core: sudo snap install core

Обновить snapd core, если он был установлен до этого: sudo snap refresh core

Установить certbot: sudo snap install --classic certbot

Создать символьную ссылку на certbot: sudo ln -s /snap/bin/certbot /usr/bin/certbot

Если РосЧат уже установлен и работает, то выключить его веб-сервер: systemctl stop wlan*

Запустить создание сертификатов посредством certbot: certbot certonly --key-type rsa -d <имя домена>

Бот спросит, в каком режиме ему работать — поскольку веб-сервер был остановлен, но можно ввести 1 и Enter:

Saving debug log to /var/log/letsencrypt/letsencrypt.log How would you like to authenticate with the ACME CA? - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 1: Runs an HTTP server locally which serves the necessary validation files under the /.well-known/acme-challenge/ request path. Suitable if there is no HTTP server already running. HTTP challenge only (wildcards not supported). (standalone) 2: Saves the necessary validation files to a .well-known/acme-challenge/ directory within the nominated webroot path. A seperate HTTP server must be running and serving files from the webroot path. HTTP challenge only (wildcards not supported). (webroot) - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 1

Ввести почтовый адрес, на который будут приходить оповещения об истечении срока сертификатов и прочие срочные новости, затем Enter:

Enter email address (used for urgent renewal and security notices) (Enter 'c' to cancel): example@mail.com

Согласиться на условия использования от Let’s Encrypt, введя «y» и Enter:

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Please read the Terms of Service at https://letsencrypt.org/documents/LE-SA-v1.3-September-21-2022.pdf. You must agree in order to register with the ACME server. Do you agree? - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - (Y)es/(N)o: y

Согласиться или отказаться от рассылки прочих новостей:

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Would you be willing, once your first certificate is successfully issued, to share your email address with the Electronic Frontier Foundation, a founding partner of the Let's Encrypt project and the non-profit organization that develops Certbot? We'd like to send you email about our work encrypting the web, EFF news, campaigns, and ways to support digital freedom. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - (Y)es/(N)o: n

После недолгого ожидания, сертификаты создадутся и окажутся на сервере. Бот уведомит, где их найти, но этот путь неправильный — он ведет на ссылки на сертификаты, для выгрузки они непригодны:

Account registered. Requesting a certificate for <имя домена> Successfully received certificate. Certificate is saved at: /etc/letsencrypt/live/<имя домена>/fullchain.pem Key is saved at: /etc/letsencrypt/live/<имя домена>/privkey.pem This certificate expires on 2023-06-14. These files will be updated when the certificate renews. Certbot has set up a scheduled task to automatically renew this certificate in the background. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - If you like Certbot, please consider supporting our work by: * Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate * Donating to EFF: https://eff.org/donate-le - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

После этого можно включить веб-сервер РосЧат: systemctl start wlan*

Сертификаты хранятся по пути /etc/letsencrypt/archive/имя.вашего.домена/ — отсюда их можно выгрузить на рабочий ПК с помощью команты scp, либо открыть их с помощью утилиты vi, скопировать все содержимое файлов cert1.pem и privkey1.pem и создать аналогичные файлы на рабочем ПК.

Для установки полученного сертификата необходимо перейти в WEB-панель управления сервером, выбрать раздел «Настройки», графу «Сервер», и в пункте «Сертификат» нажать на кнопку настройки:

SSL-сертификат и приватный ключ берется из полученных файлов cert*.pem и privkey*.pem, цепочки сертификатов — с официального сайта (см. ссылку и примеры ниже)

Ссылка на скачивание цепочек сертификатов: https://letsencrypt.org/certificates/

Скачанные файлы указать в цепочках сертификатов, по порядку (см. пример пункта 4.1.)

После установки всех 4 файлов нажать кнопки «Сохранить» и «Закрыть». При успешной установке сертификата, вы увидите, что пункт «Сертификат» будет иметь вид:

На этом установка сертификата завершена!