[apache2][Proxy] Installera certbot (Let's Encrypt's) på bästa sätt

Jag hade valt att terminera SSL i proxyn och sedan köra http till backend. Det ska inte vara något problem att köra flera domäner med certbot, men jag har inte provat själv.

Vet inte vad som är bäst plats att placera certifikaten. Men tänk dig att du skriver nextcloud.mindoman.se, om du har splitt DNS eller hairpin nat direkt mot servern som kör nextcloud eller proxyn. Om det är direkt mot nextcloud servern är det definitivt bäst att lägga det i nextcloud servern eftersom laptops/mobiltelefoner befinner sig både utanför och innanför nätverket och måste kunna kommunicera på båda.

Det är inga konstigheter med två domäner/sajter med let's encrypt och certbot. Jag för med lite orolig först. Har en webbserver som hostar 2 webbsidor och tog först bara ett certifikat på den viktigaste sidan men gjorde i förra veckan slag i saken och tog ett certifikat på den andra med.

För det första certifikatet följde jag bara guiden på deras hemsida och för det andra certifikatet körde jag det här kommandot. Sedan kopplade jag det manuellt mot den virtuella hosten som lyssar på 443. Glöm inte att ha kvar http men att göra en rewrite till https om det är en hemsida som vem som helst ska kunna nå, ingen skriver https framför adressen manuellt i webbläsaren

certbot-auto certonly -d domän.se -d www.domän.se --apache

certbot-auto certonly -d domän.se -d www.domän.se --apache

Beroende på hur termineringen i proxyn sker, om den faktiskt terminerar anslutningen, eller bara kör en tcp-passthrough så behövs ju certet på båda ställen. Varför inte peka på proxyn både internt och externt?

Jag tänkte mer prestanda att man internt inte vill köra den genom proxyn när man inte måste. Troligen används ju proxyn externt för att man bara har 1st IP-adress

Att köra genom proxy och terminera SSL kräver väldigt lite med modern hårdvara. När man börjar prata några hundra anslutningar per sekund kan man börja titta på att optimera.

Den skapar hela apache-confen åt dig, och laddar om i full autoläget. Troligtvis inte vad du vill. Den kan även bara ska CSR och sen hämta det signerade certet och lägga var du vill.

Med certonly så kommer den inte installera certifikaten. De kommer hamna i en mapp under /etc/letsencrypt/live/ och sedan gör man manuellt konfigurationen i webbservern.

Kommer inte ihåg om den gör något cronjob vi installationen men det ska man ha så att den förnyar certifikaten automatiskt.

Eftersom du kör proxy så måste du tänka på att din server där du gör förfrågan på certifikat från går att nå via https eftersom det är så den verifierar att din server verkligen är din server och att du äger domänen

Nej, med "sudo certbot --apache" kommer den göra allt per automatik med de domäner den hittar i apache-configurationen. Jag tror det räcker med kommandot jag skrev från början när certbot är installerat. Första gången får man lite mer frågor att svara på bara.