PTah
241 lines
8.6 KiB
Markdown
241 lines
8.6 KiB
Markdown
# TLS-сертификат для SAC (wildcard VeriSign / DigiCert)
|
||
|
||
Куда положить файлы, в каком формате, как скопировать на сервер `sac.kalinamall.ru`.
|
||
|
||
Связано: [install-ubuntu-24.04-native.md](install-ubuntu-24.04-native.md) §9, шаблон `deploy/nginx/sac.conf.tls.example`.
|
||
|
||
---
|
||
|
||
## 1. Что должно получиться на сервере
|
||
|
||
nginx читает **два PEM-файла** (текст, начинается с `-----BEGIN ...-----`):
|
||
|
||
| Путь на сервере | Содержимое | Кто читает |
|
||
|-----------------|------------|------------|
|
||
| `/etc/ssl/sac/fullchain.pem` | Сертификат сайта/wildcard **+** промежуточные CA (без корневого — обычно не нужен) | nginx |
|
||
| `/etc/ssl/sac/privkey.pem` | Закрытый ключ (RSA или EC) | nginx |
|
||
|
||
Имена файлов можно другие, если пути совпадают с `ssl_certificate` / `ssl_certificate_key` в `/etc/nginx/sites-available/sac`.
|
||
|
||
**Покрытие имени:** в сертификате должен быть CN или SAN вида `*.kalinamall.ru` (wildcard) или `sac.kalinamall.ru`.
|
||
|
||
---
|
||
|
||
## 2. Что вам могут выдать (входные форматы)
|
||
|
||
| От УЦ / админа | Расширения | Что делать |
|
||
|----------------|------------|------------|
|
||
| Готовый PEM | `.pem`, `.crt` + `.key` | Собрать fullchain, скопировать на сервер |
|
||
| PKCS#12 | `.pfx`, `.p12` | Распаковать в PEM (см. §4) |
|
||
| Отдельные файлы | `certificate.crt`, `ca-bundle.crt`, `private.key` | Склеить fullchain (см. §5) |
|
||
| Windows (MMC) | экспорт `.pfx` | Распаковать на ПК или сервере (§4) |
|
||
|
||
nginx **не** понимает напрямую: `.pfx`, `.p12`, `.der` без конвертации.
|
||
|
||
---
|
||
|
||
## 3. Каталог и права на сервере
|
||
|
||
Выполнить **один раз** на SAC-сервере:
|
||
|
||
```bash
|
||
sudo mkdir -p /etc/ssl/sac
|
||
sudo chmod 750 /etc/ssl/sac
|
||
```
|
||
|
||
После копирования файлов:
|
||
|
||
```bash
|
||
sudo chmod 644 /etc/ssl/sac/fullchain.pem
|
||
sudo chmod 640 /etc/ssl/sac/privkey.pem
|
||
sudo chown root:root /etc/ssl/sac/fullchain.pem
|
||
sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
|
||
```
|
||
|
||
Группа `ssl-cert` на Ubuntu нужна, чтобы **nginx** (пользователь `www-data`) мог читать ключ.
|
||
|
||
Проверка, что nginx видит файлы:
|
||
|
||
```bash
|
||
sudo -u www-data test -r /etc/ssl/sac/fullchain.pem && echo "fullchain OK"
|
||
sudo -u www-data test -r /etc/ssl/sac/privkey.pem && echo "key OK"
|
||
```
|
||
|
||
---
|
||
|
||
## 4. Копирование на сервер
|
||
|
||
Подставьте IP или hostname SAC-сервера вместо `SAC_SERVER`.
|
||
|
||
### 4.1. С Linux / macOS (scp)
|
||
|
||
Если уже есть `fullchain.pem` и `privkey.pem` на ПК:
|
||
|
||
```bash
|
||
scp fullchain.pem privkey.pem papatramp@SAC_SERVER:/tmp/
|
||
```
|
||
|
||
На сервере:
|
||
|
||
```bash
|
||
sudo mv /tmp/fullchain.pem /tmp/privkey.pem /etc/ssl/sac/
|
||
sudo chmod 644 /etc/ssl/sac/fullchain.pem
|
||
sudo chmod 640 /etc/ssl/sac/privkey.pem
|
||
sudo chown root:root /etc/ssl/sac/fullchain.pem
|
||
sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
|
||
sudo rm -f /tmp/fullchain.pem /tmp/privkey.pem
|
||
```
|
||
|
||
### 4.2. С Windows (PowerShell / pscp)
|
||
|
||
Файлы, например, в `D:\Certs\kalinamall\`:
|
||
|
||
```powershell
|
||
scp D:\Certs\kalinamall\fullchain.pem papatramp@SAC_SERVER:/tmp/
|
||
scp D:\Certs\kalinamall\privkey.pem papatramp@SAC_SERVER:/tmp/
|
||
```
|
||
|
||
Дальше на сервере — те же `sudo mv` и `chown`, что в §4.1.
|
||
|
||
Если есть только **`wildcard.pfx`**:
|
||
|
||
```powershell
|
||
scp D:\Certs\kalinamall\wildcard.pfx papatramp@SAC_SERVER:/tmp/
|
||
```
|
||
|
||
Распаковка на **сервере** (§4.3).
|
||
|
||
### 4.3. Распаковка `.pfx` / `.p12` на сервере
|
||
|
||
```bash
|
||
# установить openssl, если нет
|
||
sudo apt install -y openssl
|
||
|
||
cd /tmp
|
||
# замените имя файла и пароль от PFX
|
||
openssl pkcs12 -in wildcard.pfx -nocerts -nodes -out privkey.pem
|
||
openssl pkcs12 -in wildcard.pfx -clcerts -nokeys -out server.crt
|
||
openssl pkcs12 -in wildcard.pfx -cacerts -nokeys -out ca-chain.crt
|
||
|
||
# fullchain = сервер + промежуточные (порядок важен)
|
||
cat server.crt ca-chain.crt | sudo tee /etc/ssl/sac/fullchain.pem > /dev/null
|
||
sudo mv privkey.pem /etc/ssl/sac/privkey.pem
|
||
sudo chmod 644 /etc/ssl/sac/fullchain.pem
|
||
sudo chmod 640 /etc/ssl/sac/privkey.pem
|
||
sudo chown root:root /etc/ssl/sac/fullchain.pem
|
||
sudo chown root:ssl-cert /etc/ssl/sac/privkey.pem
|
||
|
||
# удалить временные файлы с /tmp
|
||
shred -u server.crt ca-chain.crt 2>/dev/null; rm -f wildcard.pfx
|
||
```
|
||
|
||
Пароль PFX вводится интерактивно. **Не** коммитьте PFX и ключ в git.
|
||
|
||
---
|
||
|
||
## 5. Сборка fullchain из отдельных `.crt`
|
||
|
||
Типичный набор от VeriSign / DigiCert:
|
||
|
||
- `star_kalinamall_ru.crt` — ваш wildcard
|
||
- `DigiCertCA.crt` / `intermediate.crt` — промежуточный
|
||
- (иногда) `TrustedRoot.crt` — корневой **не** добавляйте в fullchain для nginx
|
||
|
||
```bash
|
||
# на ПК или на сервере, в каталоге с исходниками:
|
||
cat star_kalinamall_ru.crt intermediate.crt > fullchain.pem
|
||
# ключ переименовать:
|
||
cp private.key privkey.pem
|
||
```
|
||
|
||
Проверка порядка (первая строка сертификата — ваш сайт):
|
||
|
||
```bash
|
||
openssl crl2pkcs7 -nocrl -certfile fullchain.pem | openssl pkcs7 -print_certs -noout | grep subject=
|
||
```
|
||
|
||
Скопировать `fullchain.pem` и `privkey.pem` на сервер (§4).
|
||
|
||
---
|
||
|
||
## 6. Проверка сертификата
|
||
|
||
На сервере:
|
||
|
||
```bash
|
||
# кому выдан, срок действия
|
||
sudo openssl x509 -in /etc/ssl/sac/fullchain.pem -noout -subject -issuer -dates
|
||
|
||
# wildcard / SAN
|
||
sudo openssl x509 -in /etc/ssl/sac/fullchain.pem -noout -ext subjectAltName
|
||
|
||
# ключ соответствует сертификату
|
||
CERT_MD5=$(sudo openssl x509 -in /etc/ssl/sac/fullchain.pem -noout -modulus | openssl md5)
|
||
KEY_MD5=$(sudo openssl rsa -in /etc/ssl/sac/privkey.pem -noout -modulus 2>/dev/null | openssl md5)
|
||
# для EC-ключа:
|
||
# KEY_MD5=$(sudo openssl pkey -in /etc/ssl/sac/privkey.pem -noout -modulus | openssl md5)
|
||
echo "cert $CERT_MD5"
|
||
echo "key $KEY_MD5"
|
||
# хеши должны совпадать
|
||
```
|
||
|
||
---
|
||
|
||
## 7. Подключение в nginx
|
||
|
||
```bash
|
||
sudo cp /opt/security-alert-center/deploy/nginx/sac.conf.tls.example \
|
||
/etc/nginx/sites-available/sac
|
||
```
|
||
|
||
В файле должны быть (по умолчанию в шаблоне):
|
||
|
||
```nginx
|
||
ssl_certificate /etc/ssl/sac/fullchain.pem;
|
||
ssl_certificate_key /etc/ssl/sac/privkey.pem;
|
||
```
|
||
|
||
```bash
|
||
sudo ln -sf /etc/nginx/sites-available/sac /etc/nginx/sites-enabled/sac
|
||
sudo nginx -t
|
||
sudo systemctl reload nginx
|
||
curl -sS https://sac.kalinamall.ru/health | jq .
|
||
```
|
||
|
||
В приложении SAC (`/opt/security-alert-center/config/sac-api.env`):
|
||
|
||
```ini
|
||
SAC_PUBLIC_URL=https://sac.kalinamall.ru
|
||
```
|
||
|
||
---
|
||
|
||
## 8. Обновление сертификата (продление)
|
||
|
||
1. Получить новые файлы от УЦ.
|
||
2. Заменить `/etc/ssl/sac/fullchain.pem` и при необходимости `privkey.pem`.
|
||
3. `sudo nginx -t && sudo systemctl reload nginx`.
|
||
4. Проверить срок: `openssl x509 -in /etc/ssl/sac/fullchain.pem -noout -dates`.
|
||
|
||
Перезапуск `sac-api` **не** обязателен — TLS терминируется на nginx.
|
||
|
||
---
|
||
|
||
## 9. Безопасность
|
||
|
||
- Закрытый ключ только на сервере SAC, права `640`, группа `ssl-cert`.
|
||
- Не хранить PFX/ключ в репозитории, почте, мессенджерах.
|
||
- После распаковки PFX удалить `/tmp/*.pfx` и промежуточные копии.
|
||
|
||
---
|
||
|
||
## 10. Устранение неполадок
|
||
|
||
| Симптом | Решение |
|
||
|---------|---------|
|
||
| `nginx: PEM_read_bio_X509_AUX() failed` | Неверный PEM, проверьте `fullchain.pem` текстом, нет ли `.der` без конвертации |
|
||
| `key values mismatch` | Ключ не от этой пары сертификатов |
|
||
| `permission denied` на key | `chown root:ssl-cert`, `chmod 640`, `www-data` в группе `ssl-cert` |
|
||
| Браузер/агент не доверяет | Неполная цепочка — добавьте intermediate в fullchain |
|
||
| `certificate has expired` | Продлить у УЦ, заменить файлы |
|