SoftEther ServerCertSet: soo dejiso silsiladda la cusboonaysiiyay iyada oo la isticmaalayo vpncmd

Certbot waxa uu soo sheegaa cusboonaysiin guul leh, faylasha disk-ka ku jira waxay qaadaan taariikho cusub, macaamiishuna weli waxay la kulmaan aqoonsiga hore. SoftEther waxa uu hayaa shahaadadiisa SSL ee server-ka gudaha habayntiisa heerka server-ka, sidaas darteed fayl cusub oo disk-ka ah waxba ma beddelo ilaa caleenta iyo furaheeda la soo dejiyo. Taxanaha hoose waxa uu daboolayaa hal soo dejin gacan ah, duubis socota ka dib cusboonaysiin kasta, iyo hubin akhrinaysa waxa dhegeysanuhu dhab ahaan soo bandhigo. Tallaabo kastaa waxay ka tagtaa caddaymo aad isbarbardhigi karto ka dib cusboonaysiinta xigta.

Faylka la cusboonaysiiyay ma beddelo aqoonsiga server-ka

Soo saarista iyo deployment-ku waa dhacdooyin kala duwan oo leh habab guuldarro oo kala duwan. Macmiilka ACME waxa uu faylasha ku qoraa galka abtirsiinta oo diiwaangeliya guusha; SoftEther waxa uu sii wadaa isticmaalka shahaadda ugu dambeysay ee lagu raray habayntiisa. Sidaas darteed xaaladda bixitaanka eber waxay qeexdaa faylasha, ma aha adeegga, oo labaduba way kala duwanaan karaan ilaa aan qofna eegin. U qaado soo dejinta tallaabada deployment-ka iyo cusboonaysiinta gelintaheeda.

Farqigaasi waxa uu sidoo kale sharaxaa guuldarrada nusqaamka ah ee jahawareerka leh: shahaadda hore waxay shaqaysaa ilaa ay dhacdo, sidaas darteed bilowga waxba uma muuqato in ay jabtay. Marka ay dhacdo, macaamiisha oo dhan waxay hal mar ku guuldarraystaan, taas oo u muuqata hakad halkii ay ahaan lahayd tallaabo deployment oo la seegay. Hubinta aqoonsiga la soo bandhigay ka dib cusboonaysiin kasta waxay layaabkaas u beddelaa indho-indhayn caadi ah.

Dooro caqabadda ku habboon dhegeysanaha

Shahaadadu waa in ay magacowdo host-ka macaamiishu xaqiijiyaan, sidaas darteed isticmaal magaca DNS ee dadweynaha halkii aad isticmaali lahayd calaamad gudaha ama cinwaan. HTTP-01 waxa uu u baahan yahay in caqabadda lagaga jawaabo dekedda 80 daqiiqad, taas oo ah dhegeyste ku meel gaar ah oo waligeed maaha sabab loo raro dekedda SoftEther ee u gaar ah. DNS-01 waxa uu caddeeyaa xakamaynta iyada oo la adeegsanayo diiwaan oo uma baahna HTTP soo gal ah haba yaraatee.

Cusboonaysiin aan la ilaalin waxay ka dhigan tahay isku xirka DNS otomaatig ah oo leh aqoonsiyo ku eg hal aag, ma aha diiwaan TXT oo gacan lagu qoro laba bilood kasta. Wildcard waxa uu beddelaa nooca caqabadda, ma aha baahida otomaatiggaas. Go'aanso tan ka hor inta aan shahaadda ugu horreysay jirin, sababtoo ah beddelka nooca caqabadda mar dambe waxay ka dhigan tahay taabashada habaynta macmiilka iyo darbiga dabka si wadajir ah.

Hayso artefacts-ka si nidaamsan inta aad halkan joogto. Caleenta iyo shahaadaha dhexe waxay yimaadaan faylal gooni ah iyo hal fayl silsilad ah oo isku dhafan, furaha gaarka ah mar kale waa gooni, soo dejintuna waxay u baahan tahay silsiladda oo leh furaha u dhigma, ma aha shahaad dadweyne keligeed.

Soo dejiso silsiladda heerka server-ka

Samee nuqul kayd ah habaynta server-ka oo xaqiiji in aad weli gaadhi karto interface-ka maamulka ka hor inta aadan taaban shahaadda. Ku xir sida maamulaha server-ka ee ma aha maamulaha Virtual Hub, sababtoo ah shahaadadu waxay ka tirsan tahay shayga server-ka. Kadib rar silsiladda iyo furaha iyada oo la raacayo waddo buuxda, laga soo qaaday faylal ay akhrin karto akoonka fulinaya amarka. Ogsoonow in waddooyinku buuxda yihiin sababtoo ah amarku waxa uu ka xalliyaa galka shaqada ee habka fuliyay vpncmd:

ServerCertSet /LOADCERT:/etc/letsencrypt/live/vpn.example.com/fullchain.pem /LOADKEY:/etc/letsencrypt/live/vpn.example.com/privkey.pem

Akhri wax soo baxa amarka halkii aad ka qadan lahayd guul, kadibna mar kale akhri silsiladda halkii aad aamin lahayd faylka aad bixisay. Xadka u dhexeeya build-yada soo dejiya xidhmada PEM oo dhan iyo build-yada qaata kaliya shahaadda ugu horreysa laguma diiwaangelin hal meel, sidaas darteed hubintu waa tan go'aamisa build-ka hortaada ah. Tirso shahaadaha uu dhegeysanuhu soo bandhigo; caleen aan dhexe lahayn waa saxeexa soo dejiye isticmaalay kaliya block-ka ugu horreeya.

Hayso furaha la soo dejiyay oo akhrisan kara kaliya akoonka fulinaya server-ka, oo hayso password-ka maamulka meel ka baxsan taariikhda shell-ka. Soo dejintan ugu horreysa ku qor password-ka goobta lagu weydiiyo halkii aad u gudbin lahayd sida dood amareed. Labadan caado waxba ma qaataan oo waxay meesha ka saaraan habka ugu caansan ee deployment shahaadadu ku daadiyo wax ay ahayd in ay ilaaliso. Samee tan ka hor soo dejinta ugu horreysa, ma aha ka dib.

Ku xir deployment-ka, ma aha cusboonaysiinta

Marka soo dejinta gacan-ku-shaqeysa, geli tallaabooyinkaas si sax ah duubis yar oo ka wac macmiilka ACME ka dib cusboonaysiin guul leh. Certbot waxa uu dhigaa RENEWED_LINEAGE iyo RENEWED_DOMAINS qabashada, sidaas darteed duubistu waxay ku shaqeyn kartaa hal shahaad mashiin maamusha dhowr. Ku shaandhee abtirsiinta halkii aad ka falcelin lahayd cusboonaysiin kasta host-ka. Duubistu waa koodh deployment ah oo ku socda awoodaha server-ka, sidaas darteed dib u eeg sida script kasta oo kale oo booskaas ah.

certbot renew --deploy-hook /usr/local/sbin/softether-deploy.sh

Qabashada ku socota ilaalin la'aan waxay u baahan tahay kaydkeeda aqoonsiyo la ilaaliyay iyo calaamad guuldarro oo gaadha qof. Haddii soo saaristu guulaysato soo dejintuna guuldarraysto, mar kale isku day soo dejinta halkii aad codsan lahayd shahaad kale, sababtoo ah codsiga labaad waxa uu cilladda deployment-ka ku qariyaa fayl cusub gadaashiisa. Dukumeentiga cusboonaysiinta Certbot waxa uu si cad u sheegayaa in orod aan waxba cusboonaysiin ay tahay natiijo caadi ah, sidaas darteed qabashadu waa tan kala soocda labada.

Isbarbardhig silsiladda la soo bandhigay iyo faylka

Akhri dhegeysanaha, ma aha disk-ka. Ku xir dekedda macaamiisha u jeedda magaca server-ka ee macaamiishu isticmaalaan, kadib isbarbardhig faraha iyo silsiladda la gaarsiiyay iyo abtirsiinta uu qabashadu rakibtay. Laba amar ayaa tan daboola, tan ugu horreysana waxay sidoo kale muujinaysaa in shahaadaha dhexe yimaadaan haba yaraatee:

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts </dev/null 2>/dev/null | grep -c 'BEGIN CERTIFICATE'
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -dates -fingerprint -sha256

Kadib samee xiriir macmiil cusub, sababtoo ah fadhiyadii la aasaasay ka hor soo dejinta waxaa lagu xaqiijiyay aqoonsiga hore oo waxba kama caddeeyaan kan cusub. Haddii macaamiishu ay dhejiyaan caleenta hore, waxay u baahan yihiin cusboonaysiin isku-dubarid leh xitaa marka silsiladda dadweynuhu sax tahay, shaqadaasna waxay ka tirsan tahay isla runbook-ga cusboonaysiinta. Proxy rogan oo adeegga hortiisa ah waxa uu soo bandhigi karaa shahaad wanaagsan inta dhegeysanaha VPN uu weli hayo tan hore, taasina waa sababta hubintu ay tahay in ay magacowdo dekedda macaamiishu dhab ahaan gaadhaan. Qor faraha agtaariikhda cusboonaysiinta, si isbarbardhigga xiga uu noqdo hubin ee ma aha fal xusuus.