Ubuntu22.04でLet'sEncryptを使用してNginxを保護する方法
序章
Let's Encryptは、無料の TLS / SSL証明書を取得してインストールするためのアクセス可能な方法を提供する認証局(CA)であり、これによりWebサーバーで暗号化されたHTTPSを有効にします。 必要な手順のほとんど(すべてではないにしても)を自動化しようとするソフトウェアクライアントCertbotを提供することにより、プロセスを簡素化します。 現在、証明書の取得とインストールのプロセス全体は、ApacheとNginxの両方で完全に自動化されています。
このチュートリアルでは、Certbotを使用してUbuntu 22.04でNginxの無料SSL証明書を取得し、証明書を自動的に更新するように設定します。
このチュートリアルでは、デフォルトファイルの代わりに別のNginxサーバー構成ファイルを使用します。 ドメインごとに新しいNginxサーバーブロックファイルを作成することをお勧めします。これは、よくある間違いを回避し、フォールバック構成としてデフォルトファイルを維持するのに役立ちます。
前提条件
このチュートリアルに従うには、次のものが必要です。
- sudo対応の非rootユーザーとファイアウォールを含む、Ubuntu22.04チュートリアルのこの初期サーバーセットアップに従ってセットアップされた1つのUbuntu22.04サーバー。
- 登録されたドメイン名。 このチュートリアルでは、全体を通して
example.com
を使用します。 Namecheap からドメイン名を購入するか、 Freenom で無料でドメイン名を取得するか、選択したドメイン登録事業者を使用できます。 - 次の両方のDNSレコードがサーバー用に設定されています。 DigitalOceanを使用している場合、それらを追加する方法の詳細については、DNSドキュメントを参照してください。
- サーバーのパブリックIPアドレスを指す
example.com
のAレコード。 - サーバーのパブリックIPアドレスを指す
www.example.com
のAレコード。
- サーバーのパブリックIPアドレスを指す
- Ubuntu22.04にNginxをインストールする方法に従ってインストールされたNginx。 ドメインにサーバーブロックがあることを確認してください。 このチュートリアルでは、例として
/etc/nginx/sites-available/example.com
を使用します。
ステップ1—Certbotをインストールする
Certbotは、インストールにsnapパッケージを使用することをお勧めします。 SnapパッケージはほぼすべてのLinuxディストリビューションで機能しますが、Snapパッケージを管理するには、最初にsnapdをインストールしておく必要があります。 Ubuntu 22.04には、すぐに使用できるスナップのサポートが付属しているため、スナップコアが最新であることを確認することから始めることができます。
sudo snap install core; sudo snap refresh core
以前に古いバージョンのcertbotがインストールされていたサーバーで作業している場合は、先に進む前にサーバーを削除する必要があります。
sudo apt remove certbot
その後、certbot
パッケージをインストールできます。
sudo snap install --classic certbot
最後に、certbot
コマンドをスナップインストールディレクトリからパスにリンクできるため、certbot
と入力するだけで実行できます。 これはすべてのパッケージで必要なわけではありませんが、スナップはデフォルトで邪魔にならない傾向があるため、誤って他のシステムパッケージと競合することはありません。
sudo ln -s /snap/bin/certbot /usr/bin/certbot
Certbotがインストールされたので、それを実行して証明書を取得しましょう。
ステップ2—Nginxの構成を確認する
CertbotがSSLを自動的に構成できるようにするには、Nginx構成で正しいserver
ブロックを見つけることができる必要があります。 具体的には、証明書を要求するドメインに一致するserver_name
ディレクティブを探すことによってこれを行います。
Nginxインストールチュートリアルのサーバーブロックの設定手順に従った場合、server_name
ディレクティブが適切に設定された、/etc/nginx/sites-available/example.com
のドメインのサーバーブロックが必要です。
確認するには、nano
またはお気に入りのテキストエディタを使用して、ドメインの構成ファイルを開きます。
sudo nano /etc/nginx/sites-available/example.com
既存のserver_name
行を見つけます。 次のようになります。
/etc/nginx/sites-available/example.com
... server_name example.com www.example.com; ...
含まれている場合は、エディターを終了して次の手順に進みます。
そうでない場合は、一致するように更新します。 次に、ファイルを保存し、エディターを終了して、構成編集の構文を確認します。
sudo nginx -t
エラーが発生した場合は、サーバーブロックファイルを再度開き、タイプミスや文字の欠落がないか確認してください。 構成ファイルの構文が正しい場合は、Nginxをリロードして新しい構成をロードします。
sudo systemctl reload nginx
Certbotは、正しいserver
ブロックを見つけて、自動的に更新できるようになりました。
次に、HTTPSトラフィックを許可するようにファイアウォールを更新しましょう。
ステップ3—ファイアウォールを介したHTTPSの許可
前提条件ガイドで推奨されているように、ufw
ファイアウォールを有効にしている場合は、HTTPSトラフィックを許可するように設定を調整する必要があります。 幸い、Nginxはインストール時にufw
にいくつかのプロファイルを登録します。
次のように入力すると、現在の設定を確認できます。
sudo ufw status
おそらく次のようになります。つまり、WebサーバーへのHTTPトラフィックのみが許可されます。
OutputStatus: active To Action From -- ------ ---- OpenSSH ALLOW Anywhere Nginx HTTP ALLOW Anywhere OpenSSH (v6) ALLOW Anywhere (v6) Nginx HTTP (v6) ALLOW Anywhere (v6)
HTTPSトラフィックを追加で取り込むには、Nginxフルプロファイルを許可し、冗長なNginxHTTPプロファイルの許容値を削除します。
sudo ufw allow 'Nginx Full' sudo ufw delete allow 'Nginx HTTP'
ステータスは次のようになります。
sudo ufw status
OutputStatus: active To Action From -- ------ ---- OpenSSH ALLOW Anywhere Nginx Full ALLOW Anywhere OpenSSH (v6) ALLOW Anywhere (v6) Nginx Full (v6) ALLOW Anywhere (v6)
次に、Certbotを実行して、証明書を取得しましょう。
ステップ4—SSL証明書を取得する
Certbotは、プラグインを介してSSL証明書を取得するためのさまざまな方法を提供します。 Nginxプラグインは、Nginxの再構成と、必要に応じて構成の再読み込みを処理します。 このプラグインを使用するには、次のように入力します。
sudo certbot --nginx -d example.com -d www.example.com
これは、--nginx
プラグインでcertbot
を実行し、-d
を使用して、証明書を有効にするドメイン名を指定します。
コマンドを実行すると、電子メールアドレスを入力し、利用規約に同意するように求められます。 そうすると、プロセスが成功し、証明書がどこに保存されているかを示すメッセージが表示されます。
OutputIMPORTANT NOTES: Successfully received certificate. Certificate is saved at: /etc/letsencrypt/live/your_domain/fullchain.pem Key is saved at: /etc/letsencrypt/live/your_domain/privkey.pem This certificate expires on 2022-06-01. These files will be updated when the certificate renews. Certbot has set up a scheduled task to automatically renew this certificate in the background. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - If you like Certbot, please consider supporting our work by: * Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate * Donating to EFF: https://eff.org/donate-le
証明書がダウンロード、インストール、ロードされ、Nginx構成によってすべてのWebリクエストがhttps://
に自動的にリダイレクトされるようになりました。 Webサイトをリロードしてみて、ブラウザのセキュリティインジケータに注目してください。 通常は鍵のアイコンで、サイトが適切に保護されていることを示す必要があります。 SSL Labsサーバーテストを使用してサーバーをテストすると、Aグレードになります。
更新プロセスをテストして終了しましょう。
ステップ5—Certbotの自動更新を確認する
Let's Encryptの証明書は、90日間のみ有効です。 これは、ユーザーが証明書の更新プロセスを自動化することを奨励するためです。 インストールしたcertbot
パッケージは、1日2回実行され、有効期限が30日以内の証明書を自動的に更新するsystemdタイマーを追加することで、これを処理します。
systemctl
を使用して、タイマーのステータスを照会できます。
sudo systemctl status snap.certbot.renew.service
Output○ snap.certbot.renew.service - Service for snap application certbot.renew Loaded: loaded (/etc/systemd/system/snap.certbot.renew.service; static) Active: inactive (dead) TriggeredBy: ● snap.certbot.renew.timer
更新プロセスをテストするには、certbot
を使用してドライランを実行できます。
sudo certbot renew --dry-run
エラーが表示されない場合は、すべて設定されています。 必要に応じて、Certbotは証明書を更新し、Nginxをリロードして変更を取得します。 自動更新プロセスが失敗した場合、Let's Encryptは指定した電子メールにメッセージを送信し、証明書の有効期限が近づいたときに警告します。
結論
このチュートリアルでは、Let'sEncryptクライアントcertbot
をインストールし、ドメインのSSL証明書をダウンロードし、これらの証明書を使用するようにNginxを構成し、証明書の自動更新を設定しました。 Certbotの使用についてさらに質問がある場合は、公式ドキュメントから始めることをお勧めします。