Централизованное обновление сертификатов Let's Encrypt

[@elve]

Круто. Молодцы. Только incron лишний. Letsencrypt разрешает использование hook-ов не только для подтверждения владения доменом, но и для раскладывания сертификатов.

[@Asten]

Возможно я не понял мысль, но нам нужно выполнить хук не на сервере Letsencrypt, а на серверах где обновились сертификаты

[@elve]

Так у вас же есть доступ к .well-known на серверах. Почему не сделать также доступ на закидывание сертификатов и рестарт nginx-а? После этого в крон на сервере с letsencrypt добавить все одну команду
certbot renew
и забыть вообще про сертификаты.

[@Asten]

Извините, яснее ваша идея для меня не стала(

Почему не сделать также доступ на закидывание сертификатов и рестарт nginx-а?

Раскладывать с letsencrypt сертификаты на сервера и рестартить nginx? Для этого потребуется больше приседаний с созданием ключа и правами для пользователя

[@elve]

Прошу прощения. Надо было сразу описать что я имею ввиду.

Я имел ввиду как раз то, что вы и описали. Раскидать ssh ключ и конфиг для sudo с помощью ansible попутно с другим настройками, а для letsencrypt сделать 3 хука — acme-http-auth, acme-http-auth-clean, cert-deploy. Учитывая то, что папкой .well-known на серверах вы пользуетесь удаленно, то предполагал что и ключик уже раскидан. При первоначальной настройке конечно больше шагов, которые сделает за нас ansible =). Зато потом меньше точек отказа на целый incron.

По вашему сообщению я понял, что вы как раз избегали суеты с ключом и конфигами в пользу incron. Вопросов больше не имею =). А претензий тем более =).

[@Godless]

Для получения wildcard сертификата

Погодите, а их выпуск ведь блокировали из-за каких-то проблем. Или я что-то пропустил?

[@Asten]

Не слышал такого… новость о wildcard

[@whoim]

Годик назад сделал такое на баше, кроне и dehydrated (который тоже на баше), ну и на одной табличке с мускуля, для более удобного управления. Нужно было юзать https для вебморд, однотипных серверов клиентов, домены третьего уровня. На вилдкард чето зажопился)
Работает.

[@jamakasi666]

Как по мне так несколько страшновато доверять скриптам такие дела и один фиг надо будет проверить все ли нормально прошло, почитать логи. Не проще ли сделать тотально страшную напоминалку нужным людям заранее, за пару недель скажем?
Такто то понадеетесь на автоматику а чтонибудь да не отработает и проверить выполнение всем будет некогда и т.д.

[@Asten]

Выхлоп всех кронтасков с exit статусом 1 у нас улетает на ту самую почту для нужных людей, а «протухание» сертификатом проверяет мониторинг.
Мы как раз и хотели перейти на автоматику и не дергать никого напоминалками.

[@yukh975]

Добрый день!
А как обстоят дела с обновлением wildcard сертификатов? certbot renew сам поймёт, что нужно обратиться к DNS или ему надо это где-то указать?
В мануалах не нашел информации.

[@Asten]

certbot всю нужную информацию сохранил в /etc/letsencrypt/renewal/you_domain.conf и сам обновит сертификат без проблем

[@Asten]

Время показало, что я был не прав(
Certbot не сможет обновится без использования плагинов для DNS сервисов (e.g. dnsimple)
А если у вас DNS не на таких сервисах, то остается только или обновлять руками или писать свой плагин…

[@yukh975]

А как насчет использования acme.sh?
Видел еще одно решение для работы с Let's Encrypt, без использования certbot вообще, но сейчас не могу найти ссылку на него.

[@max_rip]

• к acme.sh, сам его использую и также в связке со своим днс сервером, проверку записей на днс он делает через https dns query.

[@Asten]

Можно использовать и его, просто мне это не поможет, т.к. у меня ну совсем нет доступа до наших днс серверов (редактирование записей) с серверов…