SSL Automatisering

nginx och Apache

En webbserver bakom en reverse proxy, bakom en load balancer eller på ett internt nät kan inte svara på en HTTP-challenge. Det är den situation de flesta ACME-guider inte beskriver.

Svensk support, vardagar 10-16 +46 10 101 03 34
E-post info@fairssl.se
Betala mot faktura E-faktura via Peppol 30 dagar netto, PDF-faktura 14 dagar netto
Bankgiro (Handelsbanken) 650-4757
E-faktura Peppol för offentlig sektor och företag
VAT-nr DK33075782

De två vanliga valideringsvägarna passar sällan en produktionswebbserver

HTTP-01 kräver att port 80 är öppen in mot just den servern, och att det inte finns någon omdirigering till HTTPS på vägen. DNS-01 löser det, men den vanliga uppsättningen kräver en API-nyckel till DNS-leverantören, och den nyckeln hamnar då på webbservern med skrivbehörighet till hela zonen.

Vad den genererade konfigurationen gör

Guiden skriver ett Lego-kommando med FairSSL som ACME-server, dina EAB-nycklar, domänerna och en hook som läser om tjänsten efter en förnyelse. Samma kommando läggs i cron eller en systemd-timer och körs sedan dagligen.

Registrerar kontot mot FairSSL ACME-server med EAB.
Hämtar certifikat, nyckel och kedja som PEM-filer.
Anropar en renew-hook som läser om nginx eller Apache.
Körs dagligen och förnyar när ARI öppnar förnyelsefönstret.

Var certifikatet hamnar

Som PEM-filer i den sökväg du ger Lego. Konfigurationen i nginx eller Apache pekar på de sökvägarna och behöver inte ändras vid en förnyelse; filerna skrivs på samma plats varje gång, och hooken läser om tjänsten så att den körande processen läser dem.

Det här bör du veta i förväg

Lego är den klient vi genererar konfigurationen för, och den vi sponsrar. Certbot och acme.sh fungerar mot samma directory-URL, men acme.sh stöder inte ARI: dess dagar-parameter är ett fast intervall mellan utfärdanden och inte ett förnyelsefönster. En tjänst som inte läses om efter förnyelsen kör vidare på det gamla certifikatet, även om filerna på disken är nya.

Guider för den här plattformen

Versioner som stöds

Guiden i kontrollpanelen är skriven för de här versionerna. Kör du en äldre version än den som står här, fråga oss innan du beställer.

Linux

Plattform	Versioner	Körs på	ACME-klient
nginx	VersionerGuiden sätter ingen versionsgräns	Körs påLinux	ACME-klientlego 5.0.4+
Apache	VersionerGuiden sätter ingen versionsgräns	Körs påLinux	ACME-klientlego 5.0.4+
HAProxy	VersionerGuiden sätter ingen versionsgräns	Körs påLinux	ACME-klientlego 5.0.4+
Traefik	VersionerMed file provider	Körs påLinux	ACME-klientlego 5.0.4+
Postfix	VersionerGuiden sätter ingen versionsgräns	Körs påLinux	ACME-klientlego 5.0.4+
Caddy	VersionerGuiden sätter ingen versionsgräns	Körs påLinux	ACME-klientCaddys inbyggda ACME med EAB
Annan Linux-tjänst	VersionerGuiden sätter ingen versionsgräns	Körs påLinux	ACME-klientlego 5.0.4+

Validering utan att öppna något in mot servern

En ACME-klient som validerar över HTTP kräver att port 80 är öppen in mot servern. En klient som validerar över DNS kräver en API-nyckel till din DNS-leverantör, och den nyckeln ligger då på servern med skrivbehörighet till din zon. Interna servrar och appliances klarar sällan någondera.

Den enda CNAME du skapar per domän

_dnsauth.<domain> CNAME <hash>.autodns.fairssl.dk

Du skapar den en gång per registrerad domän. FairSSL skriver CA:ns valideringspost i vår egen zon, och du rör inte din DNS igen vid förnyelse.

En post per domän

Wildcard, SAN-namn och nya underdomäner på samma registrerade domän använder samma CNAME-vidarebefordran.

Inga DNS-nycklar på servern

Klienten får aldrig åtkomst till din DNS-zon. En komprometterad server kan därför inte ändra dina DNS-poster.

Utgående HTTPS, ingen inkommande regel

Servern måste kunna anropa fairssl.dk över HTTPS. Någon inkommande regel i brandväggen behövs inte, och servern behöver ingen publik adress.

Så fungerar AutoDNS →

Vad som övervakas när klienten kör

En automatisering som stannar utan att säga till är sämre än en förnyelse i kalendern. Vi mäter därför både certifikatet och den klient som ska förnya det.

Förnyelsefönster varje timme

Vi frågar CA:n via ARI när certifikatet bör förnyas och kontrollerar varje timme. Svarar CA:n inte faller vi tillbaka på 21 och 7 dagar före utgång.

Klienten slutar höra av sig

Börjar en klient checka in hälften så ofta som den ska skickar vi en varning. Ett certifikat kan vara giltigt långt efter att klienten som skulle förnya det har slutat köra.

Om installationen lyckades

Windows-klienten rapporterar resultatet av installationen tillbaka. Ett certifikat som är utfärdat men inte bundet till webbplatsen räknas som ett fel.

E-postlarm per profil

Larm ställs in per profil, så drift och utveckling kan få besked på var sin adress.

Övervaknings-API

Status kan hämtas som JSON eller läsas direkt av PRTG och Prometheus, så certifikaten syns i det övervakningssystem ni redan tittar på.

Certifikat utan automatisering

Certifikat som inte körs automatiskt får utgångsmail 28 dagar och 7 dagar före utgång.

Administration, profiler och behörigheter →

Vad automatiseringen kostar

Avgiften betalas per huvudcertifikat, per år, utöver priset på själva certifikatet.

370 SEK per huvudcertifikat och år

Kortare giltighetstid betyder fler utfärdanden per år. Antalet utfärdanden ändrar inte priset: du betalar för certifikatet under förvaltning, inte per förnyelse.

Upp till 25 servrar som använder certifikatet ingår i avgiften. Varje server får sitt eget återutfärdade certifikat.
Återutfärdanden kostar inget extra.
Ändringar i certifikatets SAN-namn kostar inget extra.
Fler ACME-klienter som använder samma certifikat kostar inget extra.

Ytterligare ett certifikat prissätts för sig: certifikatets eget pris plus avgiften för ett år.

Räkneexempel och prisdetaljer →

Från beställning till ett certifikat som förnyar sig självt

Steg tre finns inte i en generisk ACME-guide: konfigurationen skrivs för din plattform.

1
Beställ certifikatet i kontrollpanelen och slå på automatisering för det.
2
Skapa CNAME-vidarebefordran för domänen. En gång per registrerad domän.
3
Välj din plattform i guiden. Portalen skriver konfigurationskommandot med kontonyckel och domäner ifyllda, och du kopierar det med en knapp.
4
Kör kommandot på servern. Klienten hämtar certifikatet, installerar det och förnyar det sedan själv.

Klienten för Windows paketerar vi själva och bygger dagligen. Linux och macOS använder stock lego, som det genererade kommandot anropar. Hämta Windows-klienten

Kom igång i kontrollpanelen →

Support via e-post och telefon är kostnadsfri före, under och efter installationen. Fjärrinstallation är ett tillval till fast pris.

Hitta din plattform

Guiden i kontrollpanelen skriver konfigurationen för den plattform du väljer, med kontonyckel och domäner ifyllda. Du kopierar den med en knapp och kör den på servern.

Windows

Simple-ACME i FairSSL-utgåvan hämtar certifikatet, installerar det i certifikatlagret och binder det till webbplatsen eller tjänsten.

IIS 8+, IIS 6-7.5, Exchange, RDS, ADFS, WAP, SQL Server, PRTG, Dynamics NAV/BC, Tomcat

Se konfigurationen →

Linux

Stock lego med FairSSL som ACME-server. Det genererade kommandot skriver certifikatet och reloadar tjänsten efteråt.

nginx, Apache, HAProxy, Traefik, Caddy, Postfix, lego

macOS

Lego, med samma konfiguration som på Linux.

lego

Appliances

FortiGate 7.6.3 och F5 BIG-IP 21.1.0 och senare talar ACME själva. Äldre versioner och de övriga lådorna hämtar certifikatet via en agent eller en enrollment-URL.

FortiGate, FortiMail, FortiWeb, NetScaler ADC, F5 BIG-IP, Kemp LoadMaster, Cisco ASA, Cisco FDM, Kubernetes cert-manager

Se konfigurationen →

Det här ingår inte

Guiden skriver ingen konfiguration för pfSense, Synology, Palo Alto eller Sophos. Kör du någon av dem, fråga oss innan du köper så tittar vi på vad som går att göra.

Certifikat på många servrar och appliances

Ett offentligt SSL-certifikat får vara giltigt i högst 199 dagar nu, 99 dagar senast 2027-03-15 och 46 dagar senast 2029-03-15. Varje certifikat måste då bytas minst två gånger om året nu och minst åtta gånger om året från 2029, på varje server, brandvägg och lastbalanserare där det används. sslbrain från FairSSL körs som en appliance i ert eget nätverk och förnyar och installerar certifikaten från ett ställe, även på utrustning utan agent.

Så förnyar och installerar sslbrain certifikat på Linux-servrar med Nginx och Apache