Сертификаты Let’s Encrypt действуют 90 дней, после чего требуется их обновление. Пропуск срока действия приводит к недоступности сайта по HTTPS и ошибкам безопасности в браузере. Регулярное продление позволяет поддерживать защищенное соединение без перерывов.
Для продления чаще всего используется инструмент Certbot, поддерживающий различные веб-серверы: Apache, Nginx, а также статические сайты. Он выполняет проверку домена и автоматически генерирует новый сертификат. Важно убедиться, что установленная версия Certbot совместима с текущей конфигурацией сервера.
Перед обновлением рекомендуется создавать резервные копии конфигурационных файлов веб-сервера, чтобы можно было восстановить настройки при возникновении ошибок. Продление может выполняться как вручную, так и через автоматические задачи cron или systemd timers для исключения риска пропуска срока.
В этой инструкции подробно рассмотрены команды для проверки оставшегося срока действия сертификата, последовательность обновления с Certbot, проверка корректного применения нового сертификата и методы устранения возможных ошибок, встречающихся на практике.
Продление сертификата Let’s Encrypt: пошаговая инструкция
Для обновления сертификата Let’s Encrypt необходимо использовать Certbot, установленный на сервере. Проверка текущего состояния выполняется командой:
certbot certificates
cp /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak
Продление сертификата вручную выполняется командой:
certbot renew —dry-run
Эта команда имитирует обновление и проверяет доступность домена и корректность конфигурации. После успешного теста запускается фактическое продление:
certbot renew
Если используется веб-сервер Apache или Nginx, Certbot автоматически перезагружает сервис. Для проверки примененного сертификата можно использовать команду:
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com
Результат покажет дату действия нового сертификата и цепочку доверия.
Для автоматизации обновления создайте cron-задачу или systemd timer:
| Метод | Пример команды | Период |
|---|---|---|
| Cron | 0 0,12 * * * certbot renew —quiet | Дважды в сутки |
| Systemd timer | systemctl enable certbot.timer | Ежедневная проверка |
При ошибках продления проверьте права на директории /etc/letsencrypt и наличие свободного порта 80/443 для проверки домена. Также убедитесь, что домен корректно указывает на сервер через A или AAAA запись.
Проверка текущего срока действия сертификата
Для определения оставшегося времени действия сертификата Let’s Encrypt используется команда:
certbot certificates
Certificate Name: example.com
Domains: example.com www.example.com
Expiry Date: 2025-12-15 12:34:56+00:00
Альтернативно можно проверить срок через OpenSSL для удаленного сервера:
openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -dates
Команда возвращает notBefore и notAfter, что позволяет точно определить дату истечения сертификата. Если до окончания срока осталось меньше 30 дней, рекомендуется запланировать обновление.
Для регулярного мониторинга можно настроить скрипт, который проверяет дату окончания сертификата и уведомляет администратора по email или через системные уведомления.
Установка и обновление Certbot на сервере
Для установки Certbot на Ubuntu используйте команды:
sudo apt update
sudo apt install certbot python3-certbot-nginx
Для Apache замените nginx на apache. После установки проверьте версию:
certbot —version
Для других дистрибутивов используйте пакетный менеджер: на CentOS/RHEL sudo yum install certbot python3-certbot-nginx, на Fedora sudo dnf install certbot python3-certbot-nginx.
Обновление Certbot выполняется через системный пакетный менеджер:
sudo apt update && sudo apt upgrade certbot
Важно убедиться, что версия Certbot поддерживает вашу конфигурацию веб-сервера и протокол ACME v2, который используется для генерации и продления сертификатов Let’s Encrypt.
После установки рекомендуется проверить корректность работы командой:
certbot renew —dry-run
Эта проверка имитирует продление сертификата без изменений в системе и позволяет убедиться, что обновление будет успешным при фактическом продлении.
Создание резервной копии конфигурации веб-сервера
Перед продлением сертификата важно сохранить текущие настройки веб-сервера. Для Nginx создайте резервную копию командой:
cp -r /etc/nginx /etc/nginx.backup
Для Apache используйте:
cp -r /etc/apache2 /etc/apache2.backup
Резервное копирование сохраняет все конфигурационные файлы, включая виртуальные хосты, SSL-настройки и дополнительные модули. Это позволяет восстановить рабочую конфигурацию при ошибках продления или некорректной генерации сертификата.
Для удобства рекомендуется создавать резервные копии с отметкой даты:
cp -r /etc/nginx /etc/nginx.backup_$(date +%F)
Дополнительно можно архивировать конфигурацию в tar-файл и хранить на удаленном сервере:
tar czf nginx_backup_$(date +%F).tar.gz /etc/nginx
Это обеспечит доступ к резервной копии даже при повреждении локальных файлов или сбоях системы.
Запуск команды продления сертификата вручную
Для продления сертификата Let’s Encrypt вручную используется команда Certbot. Последовательность действий:
- Проверить текущие сертификаты и срок их действия:
- certbot certificates
- Выполнить тестовое продление без изменений:
- certbot renew —dry-run
- Убедиться, что нет ошибок в проверке домена и конфигурации веб-сервера.
- Запустить фактическое продление сертификатов:
- certbot renew
- Для конкретного домена можно использовать опцию —cert-name example.com.
- Перезагрузить веб-сервер для применения нового сертификата:
- Для Nginx: systemctl reload nginx
- Для Apache: systemctl reload apache2
- Проверить дату нового сертификата:
- openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -dates
При возникновении ошибок проверьте права на директории /etc/letsencrypt и доступность портов 80 и 443, используемых для проверки владения доменом.
Настройка автоматического обновления сертификатов
Для предотвращения простоя сайта рекомендуется настроить автоматическое обновление сертификатов Let’s Encrypt. На серверах Linux это реализуется через cron или systemd timer.
Пример настройки cron для ежедневной проверки и обновления:
sudo crontab -e
Добавьте строку:
0 0,12 * * * certbot renew —quiet —post-hook «systemctl reload nginx»
Эта команда проверяет сертификаты дважды в сутки и перезагружает Nginx при успешном обновлении. Для Apache замените nginx на apache2.
Альтернатива – использование systemd timer:
sudo systemctl enable certbot.timer
sudo systemctl start certbot.timer
Timer автоматически запускает процесс обновления сертификатов и выполняет post-hook для перезагрузки веб-сервера, если сертификат обновлен.
Рекомендуется периодически проверять логи обновлений:
journalctl -u certbot.timer
Это позволяет вовремя выявлять ошибки, например недоступность портов 80/443 или проблемы с DNS.
Проверка корректности обновленного сертификата в браузере
После продления сертификата необходимо убедиться, что браузер корректно распознает новое SSL-соединение. Для этого откройте сайт в браузере и нажмите на значок замка в адресной строке. Проверка включает:
- Срок действия сертификата: дата окончания должна совпадать с только что обновленным сертификатом.
- Домен: имя домена в сертификате должно полностью соответствовать URL сайта.
- Цепочка доверия: браузер не должен выдавать ошибки о недоверенных сертификатах или отсутствующих промежуточных.
Для дополнительных проверок можно использовать встроенные инструменты браузера:
- В Chrome: Настройки → Безопасность → Просмотр сертификата
- В Firefox: Щелкнуть по замку → Подробности → Просмотреть сертификат
Если браузер показывает предупреждения, проверьте:
- Правильность установки промежуточных сертификатов.
- Наличие старых сертификатов в кэше браузера (очистка кэша или перезапуск браузера).
- Конфигурацию веб-сервера, особенно пути к новым сертификатам и ключам.
Устранение ошибок при продлении сертификата
Ошибки при продлении сертификата Let’s Encrypt чаще всего связаны с доступом к домену, правами на директории или конфликтами конфигурации веб-сервера. Для устранения используйте следующие шаги:
- Проверка доступа к портам 80 и 443:
- Убедитесь, что сервер доступен извне и порты не блокируются фаерволом.
- Проверьте, что нет других сервисов, занимающих эти порты.
- Проверка прав на директории Let’s Encrypt:
- /etc/letsencrypt должен быть доступен пользователю, запускающему Certbot.
- Используйте sudo chown -R root:root /etc/letsencrypt для корректировки прав.
- Проверка конфигурации веб-сервера:
- Убедитесь, что виртуальные хосты настроены корректно и не содержат синтаксических ошибок.
- Для Nginx: nginx -t, для Apache: apachectl configtest.
- Очистка старых или конфликтующих сертификатов:
- Используйте certbot delete —cert-name example.com для удаления проблемного сертификата перед повторным продлением.
- Проверка DNS-записей:
- Убедитесь, что A и AAAA записи указывают на актуальный IP сервера.
- Проверьте пропагацию через dig example.com или аналогичные инструменты.
- Использование логов Certbot для диагностики:
- Логи находятся в /var/log/letsencrypt/letsencrypt.log.
- Ищите ошибки, связанные с доступом к домену, правами или тайм-аутами.
После исправления ошибок повторите команду продления с флагом —dry-run, чтобы убедиться в успешности обновления без фактической замены сертификата.
Вопрос-ответ:
Как проверить, когда истекает сертификат Let’s Encrypt?
Для проверки срока действия используйте команду certbot certificates. Она покажет все сертификаты на сервере с датой их окончания. Также можно проверить удаленно через OpenSSL: openssl s_client -connect example.com:443 -servername example.com | openssl x509 -noout -dates. Это позволяет точно определить дату, когда потребуется продление.
Какая команда используется для ручного продления сертификата?
Ручное продление выполняется командой certbot renew. Перед этим рекомендуется выполнить тестовое обновление через certbot renew —dry-run, чтобы убедиться в правильной конфигурации веб-сервера и доступности домена.
Что делать, если при продлении сертификата возникает ошибка доступа к порту 80 или 443?
Проверьте, что порты 80 и 443 не блокируются фаерволом и не заняты другими сервисами. Для проверки можно использовать команды sudo lsof -i :80 и sudo lsof -i :443. Если порты заняты, остановите конфликтующие сервисы или перенастройте их. После этого повторите команду продления.
Как настроить автоматическое обновление сертификатов?
На Linux можно использовать cron или systemd timer. Например, в cron добавляется строка: 0 0,12 * * * certbot renew —quiet —post-hook «systemctl reload nginx», которая проверяет и обновляет сертификаты дважды в сутки. Альтернатива — systemctl enable certbot.timer, чтобы systemd самостоятельно запускал обновление и перезагрузку веб-сервера.
Как убедиться, что обновленный сертификат работает корректно в браузере?
Откройте сайт в браузере и щелкните по значку замка. Проверьте срок действия сертификата, соответствие домена и отсутствие предупреждений о доверии. При необходимости используйте инструменты разработчика для просмотра цепочки сертификатов и убедитесь, что промежуточные сертификаты установлены корректно.
Что делать, если автоматическое продление сертификата Let’s Encrypt не сработало?
Если автоматическое обновление сертификата не прошло, первым делом проверьте логи Certbot: /var/log/letsencrypt/letsencrypt.log. Частая причина — недоступность портов 80 или 443, используемых для проверки домена. Убедитесь, что фаервол или другой сервис не блокирует эти порты. Также проверьте права на директорию /etc/letsencrypt и корректность конфигурации веб-сервера через команды nginx -t или apachectl configtest. После устранения проблем повторите продление вручную командой certbot renew —dry-run, чтобы проверить, что обновление пройдет без ошибок, и только затем выполните фактическое продление через certbot renew. При необходимости перезагрузите веб-сервер для применения нового сертификата.
Загрузка...
