Ano ang Let's Encrypt?

Ano ito

Pinapatakbo ang Let's Encrypt ng Internet Security Research Group, isang nonprofit, at nagsimulang mag-isyu ng mga certificate noong 2015. Pinagkakatiwalaan ang mga certificate nito ng lahat ng pangunahing browser at operating system. Ang mga ito ay domain-validated na SSL certificate: sinusuri lamang ng Let's Encrypt na kontrolado ninyo ang domain at wala nang iba.

Paano ito gumagana

Walang form na pupunan at walang babayaran. Ang software sa server, na tinatawag na ACME client, ay humihingi ng certificate sa Let's Encrypt. Sumasagot ang Let's Encrypt ng isang challenge para patunayan ang kontrol sa domain, alinman sa file na dapat ilathala ng server sa takdang address o record na dapat lumitaw sa DNS. Kapag nakumpirma ang patunay, ini-isyu at ini-install ang certificate. Ang parehong software ang nagre-renew nito bago ito mag-expire.

• Certbot: ang pinakakilalang client, pinananatili ng Electronic Frontier Foundation.
• Built-in: ang mga web server at proxy tulad ng Caddy at Traefik, karamihan ng mga hosting control panel, at mga firewall tulad ng OPNsense ay maaaring humiling ng mga certificate nang mag-isa.
• Sa Kubernetes: humihiling at nagre-renew ang cert-manager ng mga certificate para sa mga serbisyo sa isang Kubernetes cluster.

Ano ang dapat malaman bago umasa rito

• Maikli ang buhay sa disenyo: 90 araw ang bisa ng mga certificate, at lumilipat ang Let's Encrypt sa mas maiikli pa. Dapat awtomatiko ang renewal. Ang certificate na mano-manong nire-renew ay malilimutan din balang araw.
• Nangangailangan ng DNS ang mga wildcard: ang certificate para sa bawat subdomain ay mapapatunayan lamang sa pamamagitan ng DNS record, kaya kailangan ng client ng access sa inyong DNS provider.
• Mga internal na sistema: ang server na hindi maabot mula sa internet ay maaari pa ring makakuha ng certificate sa pamamagitan ng DNS method, basta't gumagamit ito ng totoong domain name.
• Mga rate limit: may mga limitasyon kung ilang certificate ang maaaring hilingin ng isang domain sa isang panahon. Hindi kailanman naaabot ang mga ito sa normal na paggamit, ngunit maaaring maabot ng maling na-configure na script.
• Walang validation ng kumpanya: hindi ito nag-iisyu ng organization-validated o extended-validation na mga certificate. Kakaunting site ang nangangailangan ng mga iyon.
• Bantayan ang mga renewal: tahimik na pumapalya ang awtomatikong renewal kapag nagbago ang DNS, lumipat ang isang firewall rule o muling ginawa ang isang server. Bantayan ang petsa ng expiry.

Paano nakikipagtrabaho ang KawaConnect sa Let's Encrypt

Gumagamit kami ng mga Let's Encrypt certificate sa mga Linux server, reverse proxy at Kubernetes cluster na binubuo namin, na may awtomatikong renewal at binabantayang mga petsa ng expiry. Kung ang site ay nasa likod ng Cloudflare, ang certificate na nakikita ng mga bisita ay galing sa Cloudflare at hiwalay na hinahawakan ang nasa server. Idinodokumento namin kung aling paraan ang ginagamit ng bawat sistema para mabilis masubaybayan ang problema sa renewal.

Alamin ang higit pa

• Let's EncryptAng sariling site ng proyekto, na may dokumentasyon, status at mga anunsyo tungkol sa tagal ng bisa ng certificate.
• Paano gumagana ang Let's EncryptAng proseso ng challenge at pag-iisyu, ipinaliwanag nang hakbang-hakbang.
• CertbotMga tagubilin sa pagkuha ng certificate sa isang partikular na web server at operating system.
• Dokumentasyon ng cert-managerAng karaniwang tool para sa mga certificate sa loob ng Kubernetes.
• Let's Encrypt sa WikipediaAng kasaysayan, mga sponsor at laki ng proyekto.