<div id="readability-page-1" class="page"><div id="content">
		<main id="main" role="main">

		
<article id="post-2784">
	
	

	<div>
		<a href="https://letsencrypt.org/">let’s encrypt</a>를 이용하면 무료로 SSL 인증서를 받을 수 있고, 특히나 v2 api를 이용하면 와일드카드 인증서까지 받을 수 있기 때문에 개인들은 구지 돈내고 유료 SSL 인증서를 발급 받을 필요는 없을것 같다. 
내 경우는 DNS를 cloudflare로 모두 옮겼기 때문에 certbot-dns-cloudflare를 이용해서 인증서를 발급/갱신하도록 설정했다. 

<h3>패키지 설치하기</h3>
패키지 설치는 아래처럼 하면 된다.


		<div id="crayon-60af7431253dd206070867" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>sudo apt-get install python3-certbot-dns-cloudflare</div></td>
					</tr>
				</tbody></table>
			</div>


<h3>DNS challenge 등록하기</h3>
DNS challenge를 등록하기 전에 cloud flare my profile 메뉴에서 apikey를 가져와야 한다.
<img loading="lazy" src="https://b.mytears.org/wp-content/uploads/2019/02/cf-myprofile.png" alt="" width="856" height="214" sizes="(max-width: 856px) 100vw, 856px">
apikey를 가져왔으면 아래와 같은 내용으로 
			/root/.secrets/cloudflare.ini 파일을 만들자.


		<div id="crayon-60af7431253e9937304489" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>dns_cloudflare_email = "..."dns_cloudflare_api_key = "..."</div></td>
					</tr>
				</tbody></table>
			</div>


여기까지 왔으면 준비는 끝났고, 이제 아래 커맨드를 통해 challenge를 생성하면 된다.


		<div id="crayon-60af7431253eb716295599" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>sudo certbot certonly \&nbsp;&nbsp;&nbsp;&nbsp;--server https://acme-v02.api.letsencrypt.org/directory \&nbsp;&nbsp;&nbsp;&nbsp;--preferred-challenges dns-01 \&nbsp;&nbsp;&nbsp;&nbsp;--dns-cloudflare \&nbsp;&nbsp;&nbsp;&nbsp;--dns-cloudflare-credentials /root/.secrets/cloudflare.ini \&nbsp;&nbsp;&nbsp;&nbsp;-d "unfix.net,*.unfix.net,mytears.org,*.mytears.org"</div></td>
					</tr>
				</tbody></table>
			</div>


-d 옵션 뒤에 사용하고 싶은 도메인들을 주루룩 적어주면 되고, 뭔가 동의하라고 하면 동의해주자.
정상적으로 동작했으면, 
			/etc/letsencrypt/live 밑에 인증서가 생성된다. (위 예제의 경우 

			/etc/letsencrypt/live/unfix.net)
<h3>인증서 확인하기</h3>
아마 제대로 됐겠지만, 인증서에 내가 원하는 도메인들이 다 등록되어 있는지 확인하기 위해선 아래 커맨드를 활용하면 된다.


		<div id="crayon-60af7431253f1965840137" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>sudo openssl x509 -in /etc/letsencrypt/live/unfix.net/fullchain.pem -noout -text</div></td>
					</tr>
				</tbody></table>
			</div>


출력되는 내용 중에 alternative name 부분에 내가 요청한 도메인들이 들어있으면 정상인거 같다.


		<div id="crayon-60af7431253f2695850722" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;X509v3 Subject Alternative Name: &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;DNS:*.mytears.org, DNS:*.unfix.net, DNS:mytears.org, DNS:unfix.net</div></td>
					</tr>
				</tbody></table>
			</div>


<h3>apache virtual host에 SSL 인증서 적용하기</h3>
아래는 내 블로그용 virtualhost 설정인데, rewrite 모듈을 이용해서 http로 접근한 경우 https로 리다이렉트 되도록 설정했고, SSL용 virtual host에서 letsencrypt를 통해 발급받은 인증서를 사용하도록 설정했다.


		<div id="crayon-60af7431253f4906875569" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					<div>12345678910111213141516171819202122232425</div>
				</td>
						<td><div>&lt;VirtualHost *:80&gt;	ServerName b.mytears.org	DocumentRoot /usr/share/wordpress	Alias /wp-content /home/tee/blog/wp-content	&lt;IfModule mod_ssl.c&gt;		RewriteEngine on		RedirectMatch 301 ^(.*)$ https://b.mytears.org$1	&lt;/IfModule&gt;&lt;/VirtualHost&gt;&lt;IfModule mod_ssl.c&gt;	&lt;VirtualHost *:443&gt;		ServerName b.mytears.org		DocumentRoot /usr/share/wordpress		Alias /wp-content /home/tee/blog/wp-content		SSLEngine on 		SSLCertificateFile /etc/letsencrypt/live/unfix.net/fullchain.pem 		SSLCertificateKeyFile /etc/letsencrypt/live/unfix.net/privkey.pem 		SSLCertificateChainFile /etc/letsencrypt/live/unfix.net/chain.pem 	&lt;/VirtualHost&gt;&lt;/IfModule&gt;</div></td>
					</tr>
				</tbody></table>
			</div>


아래 커맨드로 mod_ssl을 활성화시키자


		


참고로 rewrite 모듈이 기본으로 활성화되어 있는지 기억이 안나는데, rewrite 모듈 관련 에러가 나는 경우 아래와 같은 커맨드를 통해 모듈을 활성화시켜주면 된다.


		


virtualhost를 적용했으면 apache 설정을 다시 로드할 필요가 있다.


		<div id="crayon-60af7431253f9792426323" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>sudo apachectl -k graceful</div></td>
					</tr>
				</tbody></table>
			</div>


<h3>AWS 방화벽 룰 추가하기</h3>
이거 때문에 좀 삽질을 했는데, 기본으로 AWS lightsail 인스턴스의 방화벽은 http, ssh 만 허용하도록 되어 있으므로 방화벽 허용 룰에 https를 추가해야할 필요가 있다.
<img loading="lazy" src="https://b.mytears.org/wp-content/uploads/2019/02/aws-firewall-1024x367.png" alt="" width="660" height="237" sizes="(max-width: 660px) 100vw, 660px">
인스턴스를 선택하고 …&gt;관리&gt;네트워크 메뉴로 가서 위와 같은 항목을 찾은 뒤 다른 항목 추가 버튼을 눌러서 https를 추가해주자.
<h3>cronjob 등록하기</h3>
자동으로 인증서를 갱신하도록 하기 위해 cronjob을 등록하기 위해 우선 아래와 같은 내용으로 
			/etc/cron.daily/certbot 파일을 만들자.


		<div id="crayon-60af7431253fd805499852" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>#!/bin/bashcertbot renew --quiet --post-hook "apachectl -k graceful" &gt; /dev/null 2&gt;&amp;1</div></td>
					</tr>
				</tbody></table>
			</div>


이제 cron이 위 파일을 실행시킬 수 있도록 퍼미션을 조정해주면 된다.


		<div id="crayon-60af7431253fe083986389" data-settings=" touchscreen minimize scroll-mouseover">
				<table>
					<tbody><tr>
				<td data-settings="show">
					
				</td>
						<td><div>sudo chmod 755 /etc/cron.daily/certbot</div></td>
					</tr>
				</tbody></table>
			</div>


<h3>참고자료</h3>
두번째 링크껄 많이 참고했는데, 해놓고 나서 보니 첫번째 링크대로 따라하는게 더 깔끔한거 같다. OTL
<ul>
<li><a href="https://www.eigenmagic.com/2018/03/14/howto-use-certbot-with-lets-encrypt-wildcard-certificates/">https://www.eigenmagic.com/2018/03/14/howto-use-certbot-with-lets-encrypt-wildcard-certificates/</a></li>
<li><a href="https://bjornjohansen.no/wildcard-certificate-letsencrypt-cloudflare">https://bjornjohansen.no/wildcard-certificate-letsencrypt-cloudflare</a></li>
</ul>
<h3>Similar Posts:</h3>


</div>

	
	

</article>



	
		</main>
	</div></div>

내 맘대로 보는 세상

Tee Jung

let’s encrypt를 이용하면 무료로 SSL 인증서를 받을 수 있고, 특히나 v2 api를 이용하면 와일드카드 인증서까지 받을 수 있기 때문에 개인들은 구지 돈내고 유료 SSL 인증서를 발급 받을 필요는 없을것 같다. 
내 경우는 DNS를 cloudflare로 모두 옮겼기 때문에 certbot-dns-cloudflare를 이용해서 인증서를 발급/갱신하도록 설정했다. 
패키지 설치하기
패키지 설치는 아래처럼 하면 된다.
sudo apt-get install python3-certbot-dns-cloudflare
 
DNS challenge 등록하기
DNS challenge를 등록하기 전에 cloud flare my profile 메뉴에서 apikey를 가져와야 한다.
apikey를 가져왔으면 아래와 같은 내용으로 
/root/.secrets/cloudflare.ini
 파일을 만들자.
dns_cloudflare_email = "..."
dns_cloudflare_api_key = "..."
 
여기까지 왔으면 준비는 끝났고, 이제 아래 커맨드를 통해 challenge를 생성하면 된다.
sudo certbot certonly \
 --server https://acme-v02.api.letsencrypt.org/directory \
 --preferred-challenges dns-01 \
 --dns-cloudflare \
 --dns-cloudflare-credentials /root/.secrets/cloudflare.ini \
 -d "unfix.net,*.unfix.net,mytears.org,*.mytears.org"
 
-d 옵션 뒤에 사용하고 싶은 도메인들을 주루룩 적어주면 되고, 뭔가 동의하라고 하면 동의해주자.
정상적으로 동작했으면, 
/etc/letsencrypt/live
 밑에 인증서가 생성된다. (위 예제의 경우
/etc/letsencrypt/live/unfix.net
)
인증서 확인하기
아마 제대로 됐겠지만, 인증서에 내가 원하는 도메인들이 다 등록되어 있는지 확인하기 위해선 아래 커맨드를 활용하면 된다.
sudo openssl x509 -in /etc/letsencrypt/live/unfix.net/fullchain.pem -noout -text
 
출력되는 내용 중에 alternative name 부분에 내가 요청한 도메인들이 들어있으면 정상인거 같다.
X509v3 Subject Alternative Name: 
 DNS:*.mytears.org, DNS:*.unfix.net, DNS:mytears.org, DNS:unfix.net
 
apache virtual host에 SSL 인증서 적용하기
아래는 내 블로그용 virtualhost 설정인데, rewrite 모듈을 이용해서 http로 접근한 경우 https로 리다이렉트 되도록 설정했고, SSL용 virtual host에서 letsencrypt를 통해 발급받은 인증서를 사용하도록 설정했다.
<VirtualHost *:80>
	ServerName b.mytears.org
	DocumentRoot /usr/share/wordpress
	Alias /wp-content /home/tee/blog/wp-content
	<IfModule mod_ssl.c>
		RewriteEngine on
		RedirectMatch 301 ^(.*)$ https://b.mytears.org$1
	</IfModule>
</VirtualHost>
<IfModule mod_ssl.c>
	<VirtualHost *:443>
		ServerName b.mytears.org
		DocumentRoot /usr/share/wordpress
		Alias /wp-content /home/tee/blog/wp-content
		SSLEngine on 
		SSLCertificateFile /etc/letsencrypt/live/unfix.net/fullchain.pem 
		SSLCertificateKeyFile /etc/letsencrypt/live/unfix.net/privkey.pem 
		SSLCertificateChainFile /etc/letsencrypt/live/unfix.net/chain.pem 
	</VirtualHost>
</IfModule>
 
아래 커맨드로 mod_ssl을 활성화시키자
sudo a2enmod ssl
참고로 rewrite 모듈이 기본으로 활성화되어 있는지 기억이 안나는데, rewrite 모듈 관련 에러가 나는 경우 아래와 같은 커맨드를 통해 모듈을 활성화시켜주면 된다.
sudo a2enmod rewrite
 
virtualhost를 적용했으면 apache 설정을 다시 로드할 필요가 있다.
sudo apachectl -k graceful
 
AWS 방화벽 룰 추가하기
이거 때문에 좀 삽질을 했는데, 기본으로 AWS lightsail 인스턴스의 방화벽은 http, ssh 만 허용하도록 되어 있으므로 방화벽 허용 룰에 https를 추가해야할 필요가 있다.
인스턴스를 선택하고 …>관리>네트워크 메뉴로 가서 위와 같은 항목을 찾은 뒤 다른 항목 추가 버튼을 눌러서 https를 추가해주자.
cronjob 등록하기
자동으로 인증서를 갱신하도록 하기 위해 cronjob을 등록하기 위해 우선 아래와 같은 내용으로 
/etc/cron.daily/certbot
 파일을 만들자.
#!/bin/bash
certbot renew --quiet --post-hook "apachectl -k graceful" > /dev/null 2>&1
 
이제 cron이 위 파일을 실행시킬 수 있도록 퍼미션을 조정해주면 된다.
sudo chmod 755 /etc/cron.daily/certbot
참고자료
두번째 링크껄 많이 참고했는데, 해놓고 나서 보니 첫번째 링크대로 따라하는게 더 깔끔한거 같다. OTL
https://www.eigenmagic.com/2018/03/14/howto-use-certbot-with-lets-encrypt-wildcard-certificates/
https://bjornjohansen.no/wildcard-certificate-letsencrypt-cloudflare

ubuntu에서 letsencrypt ssl 인증서 사용하기 (with cloudflare dns)

댓글