Cet article vous présente comment générer un wildcard letsencrypt avec validation automatique par DNS.
Si vous l’avez déjà créé en manuel, comme moi la première fois, voyez la note « Vous avez déjà créé votre certificat en manuel ».
Voici l’environnement :
- Un reverse-proxy qui fait terminaison SSL sous nginx 1.14
- Un serveur DNS sous BIND9
Principe de fonctionnement
Pour valider un wildcard, letsencrypt va vérifier la présence d’une entrée TXT dans votre zone DNS au moment de la création/renouvellement du certificat.
Cette entrée TXT est ajoutée par la commande certbot car on lui aura autorisé la mise à d’un champ TXT précis via BIND. Cela peut être fait à la main de façon interactive (–manual), je ne vous le conseille pas.
Pour cela, nous allons créer une clé sur notre serveur BIND et configurer la zone pour qu’elle permette de mettre à jour une entrée TXT précise de la zone.
Cette clé sera donnée au client certbot sur notre reverse-proxy (dans un fichier credential) au moment de la création du certificat.
Configation de BIND
Sur le serveur BIND, créez une nouvelle clé, elle servira pour mettre à jour vos TXT de challenge letsencrypt. (ici certbot est le nom de la clé)
cd /etc/bind dnssec-keygen -a HMAC-SHA512 -b 512 -n HOST certbot.
Cela va générer deux fichiers : Kcertbot.+NNN+YYYYY.key et Kcertbot.+NNN+YYYYY.key (les deux contiennent la clé, ils ne servent qu’à vous, et pourraient même être supprimés)
Collez les 4 lignes suivantes dans /etc/bind/named.conf en remplaçant XXXxXxXVOTRECLE== par votre clé contenu dans un des deux fichiers précédents.
key "certbot." {
algorithm hmac-sha512;
secret "XXXxXxXVOTRECLE==";
};
Ajoutez les lignes suivantes à votre configuration de zone DNS (sous debian : /etc/bind/named.conf.local) en remplaçant example.com par votre domaine.
zone "example.com" {
[...]
update-policy {
grant certbot. name _acme-challenge.example.com. txt;
};
};
Redémarrez bind avec
systemctl restart bind9
Configuration sur le reverse-proxy
Vous devez installer le paquet python3-certbot-dns-rfc2136 qui est une extension pour permettre à certbot de modifier votre zone DNS pour faire vérifier le challenge. Il en existe d’autres si vous avez des zones sur d’autres systèmes (OVH, gandi, cloudflare…)
apt install python3-certbot-dns-rfc2136
Créez un fichier qui contiendra les credentials pour certbot dans /etc/letsencrypt/dns-rfc2136-credentials-bind.ini et collez la configuration suivante en remplaçant IP_OR_DNS_OF_BIND et XXXxXxXVOTRECLE== votre hôte DNS et votre clé crée dans la section précédente.
dns_rfc2136_server = IP_OR_DNS_OF_BIND dns_rfc2136_port = 53 dns_rfc2136_name = certbot. dns_rfc2136_secret = XXXxXxXVOTRECLE== dns_rfc2136_algorithm = HMAC-SHA512
Puis rendez le fichier non lisible par autre que root.
chmod 700 /etc/letsencrypt/dns-rfc2136-credentials-bind.ini
Création du certificat sur le reverse-proxy
certbot certonly --dns-rfc2136 --dns-rfc2136-credentials /etc/letsencrypt/dns-rfc2136-credentials-bind.ini -d *.example.comVous avez déjà créé votre certificat en manuel ?
Si vous avez déjà créé votre certificat de façon interactive (avec l’option –manual de certbot) donc sans l’avoir fait avec une clé bind, pas de pannique ! Vous devez tout de même suivre cet article jusqu’à l’étape de création de certificat que vous pouvez remplacer par un renouvellement de vos certificat (cerbot renew)
Voici ce que vous devez mettre dans votre fichier cat /etc/letsencrypt/renewal/example.com.conf
[...]
[renewalparams]
[...]
authenticator = dns-rfc2136
dns_rfc2136_credentials = /etc/letsencrypt/dns-rfc2136-credentials-bind.ini
Vous devriez pouvoir lancez votre certbot renew…
Remarques
Voici quelques infos à savoir sur letsencrypt que je n’ai eu que tard :
Le renouvellement (certbot renew) se fait uniquement sur les certificats expirant à J-30. (les certificats sont signés pour 90 jours).
Ne pas oublier de révoquer un certificat avant de la supprimer pour éviter les alertes d'e-mails d'expiration envoyées par letsencrypt (certbot revoke --cert-path /etc/letxencrypt/live/example.com/cert.pem)
Évitez de créer des certificat pour des domaines différents, le renouvellement échouera si un seul domaine ne fonctionne pas.
