Aktiviere HTTPS auf deiner Nginx-Instanz mit Let's Encrypt und Certbot

Melden Sie sich bei der Lightsail-Konsole an.

Wählen Sie auf der Lightsail-Startseite auf der Registerkarte Instances das SSH-Schnellverbindungssymbol für die Instance aus, zu der Sie eine Verbindung herstellen möchten.

Nachdem Ihre browserbasierte Lightsail-SSH-Sitzung verbunden ist, geben Sie den folgenden Befehl ein, um die Pakete auf Ihrer Instanz zu aktualisieren:

sudo apt-get update

Geben Sie den folgenden Befehl ein, um das Software-Eigenschaftenpaket zu installieren. Die Entwickler von Certbot verwenden ein Personal Package Archive (PPA), um Certbot zu verteilen. Das Software-Eigenschaftenpaket macht es effizienter, mit PPAs zu arbeiten.

sudo apt-get install software-properties-common -y

Geben Sie den folgenden Befehl ein, um apt zu aktualisieren und das neue Repository aufzunehmen:

sudo apt-get update -y

Geben Sie den folgenden Befehl ein, um Certbot zu installieren.

sudo apt-get install certbot -y

Certbot ist jetzt auf Ihrer Lightsail-Instanz installiert.

Geben Sie in demselben browserbasierten SSH-Terminalfenster, das im vorherigen Schritt dieses Tutorials verwendet wurde, die folgenden Befehle ein, um eine Umgebungsvariable für Ihre Domain festzulegen. Achten Sie darauf, domain durch Ihren registrierten Domänennamen zu ersetzen.

DOMAIN=domain
WILDCARD=*.$DOMAIN

Beispiel:

DOMAIN=example.com
WILDCARD=*.$DOMAIN

Geben Sie den folgenden Befehl ein, um zu bestätigen, dass die Variablen die richtigen Werte zurückgeben:

echo $DOMAIN && echo $WILDCARD

Das Ergebnis sollte in etwa wie folgt aussehen:

Geben Sie den folgenden Befehl ein, um Certbot im interaktiven Modus zu starten. Dieser Befehl weist Certbot an, eine manuelle Autorisierungsmethode mit DNS-Herausforderungen zu verwenden, um den Domänenbesitz zu überprüfen. Es fordert ein Wildcard-Zertifikat für Ihre Top-Level-Domäne sowie deren Unterdomänen an.

sudo certbot -d $DOMAIN -d $WILDCARD --manual --preferred-challenges dns certonly

Geben Sie Ihre E-Mail-Adresse ein, wenn Sie dazu aufgefordert werden, da sie für Verlängerungen und Sicherheitshinweise verwendet wird.

Lesen Sie die Nutzungsbedingungen von Let's Encrypt. Wenn Sie damit fertig sind, drücken Sie A, wenn Sie zustimmen. Wenn Sie nicht einverstanden sind, können Sie kein Let's Encrypt-Zertifikat erhalten.

Reagieren Sie entsprechend auf die Aufforderung, Ihre E-Mail-Adresse weiterzugeben, und auf die Warnung, dass Ihre IP-Adresse protokolliert wird.

Let's Encrypt fordert Sie nun auf, zu verifizieren, dass Sie Eigentümer der angegebenen Domain sind. Sie tun dies, indem Sie TXT-Einträge zu den DNS-Datensätzen für Ihre Domäne hinzufügen. Es wird ein Satz von TXT-Datensatzwerten bereitgestellt, wie im folgenden Beispiel gezeigt:

Wählen Sie im linken Navigationsbereich Domains & DNS aus.

Wählen Sie im Abschnitt DNS zones (DNS-Zonen) auf der Seite die DNS-Zone für die Domäne aus, die Sie in der Certbot-Zertifikatsanforderung angegeben haben.

Wählen Sie im DNS-Zoneneditor die Registerkarte DNS records (DNS-Datensätze).

Wählen Sie Add record (Datensatz hinzufügen).

Wählen Sie im Dropdown-Menü Record type (Datensatztyp) die Option TXT record (TXT-Datensatz).

Geben Sie die in der Let's Encrypt-Zertifikatsanforderung angegebenen Werte in die Felder Record name (Datensatzname) und Responds with (Antwortet mit) ein.

Wählen Sie Speichern.

Wiederholen Sie die Schritte 4 bis 7, um den zweiten Satz von TXT-Einträgen hinzuzufügen, der durch die Let's Encrypt-Zertifikatsanforderung spezifiziert wurde.

Lassen Sie das Browserfenster der Lightsail-Konsole geöffnet — Sie werden später in diesem Tutorial darauf zurückkommen. Fahren Sie mit dem nächsten Abschnitt dieses Tutorials fort.

Öffnen Sie ein neues Browserfenster und gehen Sie zu https://mxtoolbox.com/TXTLookup.aspx.

Geben Sie den folgenden Text in das Textfeld ein. Stellen Sie sicher, dass Sie domain durch Ihre Domäne ersetzen.

_acme-challenge.domain

Beispiel:

_acme-challenge.example.com

Wählen Sie TXT Lookup (TXT-Suche), um die Prüfung auszuführen.

Eine der folgenden Antworten wird eintreten:

Drücken Sie in der browserbasierten Lightsail-SSH-Sitzung für Ihre Instance die Eingabetaste, um mit Ihrer Let's Encrypt SSL-Zertifikatsanfrage fortzufahren. Bei Erfolg erscheint eine Antwort ähnlich der im folgenden Screenshot:

Die Nachricht bestätigt, dass Ihre Zertifikats-, Ketten- und Schlüsseldateien im Verzeichnis /etc/letsencrypt/live/domain/ gespeichert sind. Stellen Sie sicher, dass Sie domain durch Ihre Domäne ersetzen, wie z. B. /etc/letsencrypt/live/example.com/.

Notieren Sie sich das in der Nachricht angegebene Ablaufdatum. Sie verwenden es, um Ihr Zertifikat bis zu diesem Datum zu verlängern.

Geben Sie in der SSH-Sitzung für Ihre Nginx-Instanz den folgenden Befehl ein, um die zugrunde liegenden Dienste zu beenden:

sudo systemctl stop nginx
sudo systemctl stop mariadb
sudo systemctl stop php8.2-fpm

Es wird eine Antwort ähnlich der folgenden angezeigt:

Geben Sie den folgenden Befehl ein, um eine Umgebungsvariable für Ihre Domäne zu setzen. Sie können die Befehle effizienter kopieren und einfügen, um Ihre Zertifikatdateien zu verknüpfen. Achten Sie darauf, domain durch Ihre registrierte Domäne zu ersetzen.

DOMAIN=domain

Beispiel:

DOMAIN=example.com

Geben Sie den folgenden Befehl ein, um zu bestätigen, dass die Variablen die richtigen Werte zurückgeben:

echo $DOMAIN

Das Ergebnis sollte in etwa wie folgt aussehen:

Führen Sie den folgenden Befehl aus, um die SSL-Konfiguration zu ändern:

sudo sed \
-i -e "s|ssl_certificate /etc/ssl/certs/ssl-cert-snakeoil.pem|ssl_certificate /etc/letsencrypt/live/$DOMAIN/fullchain.pem|g" \
-i -e "s|ssl_certificate_key /etc/ssl/private/ssl-cert-snakeoil.key|ssl_certificate_key /etc/letsencrypt/live/$DOMAIN/privkey.pem|g" \
/etc/nginx/conf.d/default.conf

Führen Sie nach dem Überschreiben der default.conf Datei die folgenden Befehle aus, um die Konfiguration zu überprüfen und Nginx neu zu starten

sudo nginx -t
sudo systemctl restart nginx
sudo systemctl restart mariadb
sudo systemctl restart php8.2-fpm

Das Ergebnis sollte in etwa wie folgt aussehen:

Ihre Nginx-Instanz ist jetzt für die Verwendung von SSL-Verschlüsselung konfiguriert und der Datenverkehr wird von HTTP zu HTTPS umgeleitet