## Что такое Certbot?
Это клиент протокола ACME предназначенный для автоматического управления SSL-сертификатами от Let's Encrypt, он позволяет полностью автоматизировать процесс получения и продления сертификата, а при использовании соответствующих плагинов даже может автоматически конфигурировать веб-сервер или иное, использующее сертификат приложение.

Все дальнейшие инструкции будут предназначены для пользователей актуальных версий Debian и Ubuntu, но многое будет справедливо и для иных дистрибутивов Linux.

## Установка в Ubuntu 14.04/16.04

В отличие от разработчиков Debian в Ubuntu пошли другим путем, оформив Certbot в виде отдельного PPA. Данная технология позволяет любому желающему создать собственный репозиторий и хорошо известна любому пользователю Ubuntu, однако вся ответственность за содержимое PPA лежит только на их авторах, поэтому использовать их следует с определенной долей осмотрительности и осторожности.

Прежде всего установим необходимое для работы с PPA программное обеспечение:

```bash
apt-get install software-properties-common
```

Затем добавим нужный PPA:
```bash
add-apt-repository ppa:certbot/certbot
```

Обновим список пакетов:
```bash
apt-get update
```

и установим Certbot:
```bash
apt-get install certbot
```

Последовательность действий для всех дистрибутивов Ubuntu одинаковая, при подключении PPA автоматически определяется выпуск Ubuntu и добавляются нужные репозитории. Точно также можно установить Certbot на промежуточные релизы (16.10 или 17.04) но мы не рекомендуем их использование в производственных средах.

## Подготовка к получению сертификатов

В предыдущей статье цикла мы довольно подробно разбирали работу плагина webroot, который позволяет автоматически получать сертификаты используя уже установленный в системе веб-сервер. Если коротко, то вы указываете путь к корневой директории сайта, для которого получаете сертификат в файловой системе, Certbot создает там необходимую структуру папок и размещает необходимый для проверки файл.

В случае с одним доменом это не вызывает проблем, но если их много или вам требуется сертификат сразу на несколько доменов (основной домен и поддомены), корневые директории у которых отличаются, то у вас возникнут затруднения. Поэтому сам Let's Encrypt рекомендует перейти в таком случае на единую точку подтверждения сертификатов. Сделать это несложно, и мы сейчас расскажем, как.

В доступной для веб-сервера директории создадим отдельную папку, скажем, letsencrypt, которую затем мы будем использовать для всех обслуживаемых доменов и установим ее владельцем веб-сервер:

```bash
mkdir /var/www/letsencrypt
chown www-data:www-data /var/www/letsencrypt
```
Теперь нам нужно сделать так, чтобы любой запрос вида:
```bash
http://example.com/.well-known/acme-challenge
```

приводил к физическому размещению:
```bash
/var/www/letsencrypt/.well-known/acme-challenge
```
Это несложно, но для каждого из веб-серверов делается по-разному, ниже мы рассмотрим самые популярные из них.

### Nginx

Nginx - второй по популярности веб-сервер (и первый среди продвинутых пользователей) предполагает несколько иной подход к настройке. Для каждого виртуального хоста в секцию server следует добавить блок:
```bash
location ^~ /.well-known/acme-challenge/ {
   default_type "text/plain";
   root /var/www/letsencrypt;
}
location = /.well-known/acme-challenge/ {
   return 404;
}
```

## Регистрация в Let's Encrypt

Да, вы не ошиблись, именно регистрация. Обычно этот пункт пропускают, так как регистрация автоматически выполняется при первом получении сертификата. Но так как мы подробно разбираем работу Certbot, то решили коротко коснуться и этого момента.

Регистрация нужна для формирования ключевой пары, которой впоследствии подписываются все запросы, что позволяет удостовериться в подлинности отправителя. Это важно, так как все запросы передаются по открытым каналам и теоретически возможен их перехват и модификация.

Адрес электронной почты указываемый при регистрации используется для рассылки уведомлений, например, при неудачной попытке продления сертификата, поэтому следует указывать рабочий ящик, лучше всего собственный. Один и тот-же адрес можно использовать для регистрации на разных хостах, ограничений по этому параметру нет.

Для регистрации выполните команду
```bash
certbot register -m admin@example.com
```

`--dry-run ` включает тестовый режим, при котором производится симуляция получения сертификата, --webroot - указывает используемый плагин, после ключа -w указываем путь к директории для letsencrypt, а затем через ключ `-d` указываем домены для которых мы получаем сертификат. Как минимум это должно быть основное имя сайта и имя c www, хотя никто не мешает включить вам в сертификат все нужные поддомены или вообще разные домены. Лимит на количество доменов в сертификате равен 100.
```bash
certbot certonly --dry-run --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
```

После того как тестовый запуск увенчался успехом можно переходить к получению сертификата:

```bash
certbot certonly --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
```

[See original](https://interface31.ru/tech_it/2017/04/poluchaem-sertifikaty-lets-encrypt-pri-pomoshhi-certbot.html)

<Alert type='info' header='See also about Failed Validation Limit' text='too many failed authorizations recently: see https://letsencrypt.org/docs/failed-validation-limit/' />

```bash
root@pravosleva:/var/www# certbot certonly --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro^C
root@pravosleva:/var/www# certbot certonly --dry-run --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for pravosleva.pro
http-01 challenge for www.pravosleva.pro
Using the webroot path /var/www/letsencrypt for all unmatched domains.
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - The dry run was successful.
root@pravosleva:/var/www# certbot certonly --webroot -w /var/www/letsencrypt -d pravosleva.pro -d www.pravosleva.pro
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for pravosleva.pro
http-01 challenge for www.pravosleva.pro
Using the webroot path /var/www/letsencrypt for all unmatched domains.
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/pravosleva.pro/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/pravosleva.pro/privkey.pem
   Your cert will expire on 2023-12-28. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le
```

После этого раскоментируем комены:
```bash
root@pravosleva:/etc/nginx/conf.d# cat 50-pravosleva.pro.conf 
server {
  listen 80;
  #listen 443 ssl;

  server_name pravosleva.pro;
  
  #ssl_certificate /etc/letsencrypt/live/pravosleva.pro/fullchain.pem;
  #ssl_certificate_key /etc/letsencrypt/live/pravosleva.pro/privkey.pem;
  #ssl_protocols        TLSv1.2 TLSv1.1 TLSv1;
  #ssl_prefer_server_ciphers on;
  #ssl_ciphers 'kEECDH+ECDSA+AES128 kEECDH+ECDSA+AES256 kEECDH+AES128 kEECDH+AES256 kEDH+AES128 kEDH+AES256 DES-CBC3-SHA +SHA !aNULL !eNULL !LOW !MD5 !EXP !DSS !PSK !SRP !kECDH !CAMELLIA !RC4 !SEED';
  #ssl_session_cache   shared:SSL:10m;
  #ssl_session_timeout 10m;

  location ^~ /.well-known/acme-challenge/ {
    default_type "text/plain";
    root /var/www/letsencrypt;
  }
  location = /.well-known/acme-challenge/ {
    return 404;
  }

  #location /static {
  #  root /root/projects/pravosleva-blog-2021-frontend.nextjs/public;
  #}
  #location /socket.io {
  #  proxy_set_header Upgrade $http_upgrade;
  #  proxy_set_header Connection "upgrade";
  #  proxy_set_header Host $host;
  #  proxy_set_header Test "hello world from nginx";
  #  proxy_pass http://nextjs;
  #}
  #location / {
  #  proxy_set_header   X-Real-IP $remote_addr;
  #  proxy_pass http://nextjs;
  #}
}
```

Получаем #ssl сертификаты Let's Encrypt при помощи #certbot 🎓 #nginx #pravosleva.pro v2023

[Node, Express, SSL Certificate: Run HTTPS Server from scratch in 5 steps ](https://dev.to/omergulen/step-by-step-node-express-ssl-certificate-run-https-server-from-scratch-in-5-steps-5b87)

<Alert type='info' header='See also' text='http://code-samples.space/notes/63aee0f7f5887b033b442c10' />

node express #https #ssl

TLS-рукопожатие происходит после того, как с помощью TCP-рукопожатия было установлено TCP-соединение.

## Как работает SSL-рукопожатие
1. Браузер создаёт запрос серверу, есть ли у него сертификат SSL
2. Сервер отдает информацию и публичный ключ
3. Браузер получает информацию и сверяет ее с центром сертификации
4. Если информация подтверждается, браузер генерирует сеансовый ключ, зашифровывает его с помощью публичного ключа сервера, и отправляет на сервер
5. Сервер, получив зашифрованный сеансовый ключ, расшифровывает его с помощью приватного ключа и сохраняет сеансовый ключ, который будет использоваться для шифрования в данной сессии.

<ControlsBox
  controlsJson='[
    {
      "title": "START_NEW_TAB",
      "label": "Что происходит при TLS-рукопожатии? | SSL-рукопожатие",
      "type": "link",
      "link": "https://www.cloudflare.com/ru-ru/learning/ssl/what-happens-in-a-tls-handshake/"
    }
  ]'
/>

## Что происходит при TLS-рукопожатии?
В ходе TLS-рукопожатия клиент и сервер вместе выполняют следующие действия:
- Указывают, какую версию TLS (TLS 1.0, 1.2, 1.3 и т. д.) они будут использовать
- Решают, какие наборы шифров (ряд алгоритмов, используемый при установлении защищенного соединения) они будут использовать
- Проверяют подлинность сервера с помощью открытого ключа сервера и цифровой подписи центра сертификации SSL.
- Генерируют сеансовые ключи, чтобы использовать симметричное шифрование после завершения рукопожатия

<ControlsBox
  controlsJson='[
    {
      "title": "PREV",
      "label": "TCP-рукопожатие",
      "type": "link",
      "link": "https://pravosleva.pro/blog/article/protocols-tcp"
    },
    {
      "title": "NEXT",
      "label": "HTTP",
      "type": "link",
      "link": "https://pravosleva.pro/blog/article/protocols-http"
    }
  ]'
/>

Протоколы обеспечения безопасности SSL; TLS hadnshake #сетевые_протоколы

https://gist.github.com/unixcharles/949271
```bash
#user  nobody;
worker_processes  1;

events {
    worker_connections  1024;
}


http {
    include       mime.types;
    default_type  application/octet-stream;
    send_timeout 1800;
    sendfile        on;
    keepalive_timeout  6500;

    server {
        listen       80;
        server_name  localhost;

        location / {
          proxy_pass          http://localhost:3000;
          proxy_set_header    Host              $host;
          proxy_set_header    X-Real-IP         $remote_addr;
          proxy_set_header    X-Forwarded-For   $proxy_add_x_forwarded_for;
          proxy_set_header    X-Client-Verify   SUCCESS;
          proxy_set_header    X-Client-DN       $ssl_client_s_dn;
          proxy_set_header    X-SSL-Subject     $ssl_client_s_dn;
          proxy_set_header    X-SSL-Issuer      $ssl_client_i_dn;
          proxy_set_header    X-Forwarded-Proto http;
          proxy_read_timeout 1800;
          proxy_connect_timeout 1800;
        }
    }

    # HTTPS server
    
    server {
        listen       443;
        server_name  localhost;
    
        ssl                  on;
        ssl_certificate      server.crt;
        ssl_certificate_key  server.key;

        ssl_session_timeout  5m;
    
        ssl_protocols  SSLv2 SSLv3 TLSv1;
        ssl_ciphers  ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;
        ssl_prefer_server_ciphers   on;
    
        location / {
          proxy_pass          http://localhost:3000;
          proxy_set_header    Host              $host;
          proxy_set_header    X-Real-IP         $remote_addr;
          proxy_set_header    X-Forwarded-For   $proxy_add_x_forwarded_for;
          proxy_set_header    X-Client-Verify   SUCCESS;
          proxy_set_header    X-Client-DN       $ssl_client_s_dn;
          proxy_set_header    X-SSL-Subject     $ssl_client_s_dn;
          proxy_set_header    X-SSL-Issuer      $ssl_client_i_dn;
          proxy_set_header    X-Forwarded-Proto http;
          proxy_read_timeout 1800;
          proxy_connect_timeout 1800;
        }
    }

}
```

#nginx #ssl | config for http/https proxy to localhost:3000 

Сертификат, который ты используешь для чего-либо, обычно выдается и подтверждается неким сервером, который называется certificate authority. В общем, твоя программа / браузер / система или что там пытается использовать этот сертификат - не может подтвердить подлинность этого certificate authority. Тут 3 варика: Либо сертификат заэкспайрился (вышел срок годности так сказать), сервер действительно какойто левый, которому нельзя доверять, либо ты self-signed сертификат заюзал.

https://t.me/react_js/1286938

#ssl | net::ERR_CERT_AUTHORITY_INVALID

```bash
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/nginx/cert.key -out /etc/nginx/cert.crt
```

ssl experiemce

```bash
openssl req -newkey rsa:2048 -new -nodes -x509 -days 3650 -keyout key.pem -out cert.pem
```

#ssl #openssl

Bash script to generate SSL csr/key/crt 

<Gist gistId='6321633' />

#ssl #bash Bash script to generate SSL csr/key/crt 

## [Install NGINX proxy](https://sbcode.net/tssock/install-nginx/)

Description

I also want to point a domain name and an SSL certificate to the game server. We can add settings inside our server.js which is being run by NodeJS to manage this, but it is very common to use a proxy instead for this purpose. We can use Nginx. Nginx will be able to manage proxying for all your domain names and SSL certificates for this server, in case you ever want to have several websites running on it.

Check if Nginx is installed
```bash
nginx -v
```
No, then install it with
```bash
sudo apt install nginx
```
Now check its version
```bash
nginx -v
```
Now check it's status
```bash
sudo service nginx status
```
Visit http://[your ip address]

Delete the file /etc/nginx/sites-enabled/default
```bash
rm /etc/nginx/sites-enabled/default
```
Create a new file called /etc/nginx/sites-enabled/minigames

Add this script
```bash
server {
    listen 80;
    listen [::]:80;

    location / {
        proxy_pass           http://127.0.0.1:3000/;
    }
}
```
Test it by visiting again http://[your ip address]

Look at errors, how it is polling, and not creating a proper socket.
```bash
server {
    listen 80;
    listen [::]:80;

    location /socket.io/ {
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_pass "http://localhost:3000/socket.io/";
    }
    location / {
        proxy_pass           http://127.0.0.1:3000/;
    }
}
```
Test nginx configuration is ok,
```bash
nginx -t
```
restart
```bash
sudo service nginx restart
```
And visit again http://[your ip address]

It should be perfect without any errors.

As an extra measure, to ensure that the game can only be played via the Nginx proxy, we can also block access to port 3000 from the internet but not locally on the server.
```bash
iptables -A INPUT -p tcp -s localhost --dport 3000 -j ACCEPT
iptables -A INPUT -p tcp --dport 3000 -j DROP
iptables -L
```

## Add SSL

Lets make http://minigames.your-domain.tld have an SSL certificate and repoint all HTTP traffic to HTTPS

Install Certbot
```bash
sudo apt install certbot
```
Now we can run CertBot
```bash
sudo certbot certonly
```
Select option 2. In the next few steps it will want to know the webroot of our application since it wil put a temporary file into the folder and try and retrieve it using the domain name. This is to very that we control this server and domain name.

The web root folder will be the root folder that our nodejs server is serving to the browser client. According to my setup, that will be **/var/www/minigames/dist/client/**

> If you domain name hasn't fully propagated across the internet yet, then Certbot will not be able to validate your request with your IP and you will need to try again in an hour or so.

You should see a message indicating that the certificate was issued. It will also indicate the folder where Certbot saved your new certificate keys.

Replace your Nginx minigames.conf with the script below, while also updating the folder location of the ssl_certificate and ssl_certificate_key properties below to match those given to you by Certbot.

Also replace occurrences of YOUR-DOMAIN-NAME with your actual domain name that you received the certificates for.

```
server {
    listen 443;
    listen [::]:443;
    ssl on;
    server_name  YOUR-DOMAIN-NAME;
    ssl_certificate      /etc/letsencrypt/live/YOUR-DOMAIN-NAME/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/YOUR-DOMAIN-NAME/privkey.pem;

    location /socket.io/ {
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_pass "http://localhost:3000/socket.io/";
    }
    location / {
        proxy_pass           http://127.0.0.1:3000/;
    }
}

server {
    listen 80;
    listen [::]:80;
    server_name  YOUR-DOMAIN-NAME;
    return 301 https://YOUR-DOMAIN-NAME$request_uri;
}
```

Now visit **https://minigames.your-domain.tld**

or visit mine to see a working example

https://minigames.seanwasere.com

## Sample 2021-02-03

```bash
pravosleva@dan:~/projects/certbot-experience$ sudo certbot certonly
Saving debug log to /var/log/letsencrypt/letsencrypt.log

How would you like to authenticate with the ACME CA?
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
1: Spin up a temporary webserver (standalone)
2: Place files in webroot directory (webroot)
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Select the appropriate number [1-2] then [enter] (press 'c' to cancel): 1
Plugins selected: Authenticator standalone, Installer None
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): selection4test@gmail.com

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v02.api.letsencrypt.org/directory
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(A)gree/(C)ancel: A

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about our work
encrypting the web, EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: N
Please enter in your domain name(s) (comma and/or space separated)  (Enter 'c'
to cancel): selection4test.ru           
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for selection4test.ru
Cleaning up challenges
Problem binding to port 80: Could not bind to IPv4 or IPv6.

IMPORTANT NOTES:
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.

```

🎓 #ssl #cerbot #nginx

## s4t

1. `./ssl/key.pem` & `./ssl/cert.pem`
2. Run srever script:
```js
// ./bin/www

var app = require('../app') // Express app
const fs = require('fs')
const https = require('https')
const port = getNormalizedPort(process.env.PORT || 3001)

function getNormalizedPort(val) {
  const port = parseInt(val, 10)

  if (isNaN(port)) return val;
  if (port >= 0) return port;
  return false;
}

var server = https.createServer({
  key: fs.readFileSync('ssl/key.pem'),
  cert: fs.readFileSync('ssl/cert.pem'),
  // passphrase: '123456789',
}, app)
  .listen(PORT, function () {
    console.log(`Listening on port ${PORT}! Go to https://localhost:${PORT}/`)
  })
```

## [Running express.js server over HTTPS](https://timonweb.com/javascript/running-expressjs-server-over-https/)

HTTPS is everywhere and more often than not we need to spin an https server or two. Here's how you can do it for your local express.js dev server:

### 1. Generate a self-signed certificate
```bash
openssl req -nodes -new -x509 -keyout server.key -out server.cert
```

### 2. Enable HTTPS in Express
Add something like this to your index.js
```js
var express = require('express')
var fs = require('fs')
var https = require('https')
var app = express()

app.get('/', function (req, res) {
  res.send('hello world')
})

https.createServer({
  key: fs.readFileSync('server.key'),
  cert: fs.readFileSync('server.cert')
}, app)
.listen(3000, function () {
  console.log('Example app listening on port 3000! Go to https://localhost:3000/')
})
```
Now run a command node index.js and your server should be available at address https://localhost:3000.

See also: [How To Create an HTTPS Server on Localhost using Express](https://medium.com/@nitinpatel_20236/how-to-create-an-https-server-on-localhost-using-express-366435d61f28)

🎓 #ssl #express #openssl

> [Let's Encrypt: получение сертификата по шагам](https://habr.com/ru/post/270273/) habr 2015

[Получаем бесплатный SSL сертификат от Let's Encrypt](https://codex.so/ssl)

```
root@pravosleva:~# ./certbot-auto --nginx
Skipping bootstrap because certbot-auto is deprecated on this system.
Your system is not supported by certbot-auto anymore.
Certbot cannot be installed.
Please visit https://certbot.eff.org/ to check for other alternatives.
```

https://github.com/acmesh-official/acme.sh

https://gethttpsforfree.com/

ssl