OpenBSD и letsencrypt

http://man.openbsd.org/acme-client

Точно оно. Спасибо.

а как оно вообще работает? я запустил пример из мана, а оно мне сказало - нет такого домена

Запусти пример из мана с тем доменом, который есть
Ну и посмотри что там летсенкрипт ответил

то же самое, что и на любой другой:

# acme-client -vAD example.com
acme-client: domain example.com not found

Работает так, что клиент должен с этого домена ответить LE-серверу. Т.е. этот домен ты должен иметь и ip должен указывать на машину, где запускается клиент.

Нужно свой домен иметь и указывать на него айпишником.

PS: все настроил, из коробки, работает отлично.

Нужно свой домен иметь и указывать на него айпишником.

переведи

Работает так, что клиент должен с этого домена ответить LE-серверу. Т.е. этот домен ты должен иметь и ip должен указывать на машину, где запускается клиент.

ну, A-запись настроена. но ответ от acme-client приходит моментально, даже не видно, чтобы он хоть как-то к сети присоединялся

# acme-client -vvAD 51t.ru 
acme-client: domain 51t.ru not found
# acme-client -n                                                                                                                      
authority letsencrypt {
        agreement url "https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf"
        api url "https://acme-v01.api.letsencrypt.org/directory"
        account key "/etc/acme/letsencrypt-privkey.pem"
}

authority letsencrypt-staging {
        agreement url "https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf"
        api url "https://acme-staging.api.letsencrypt.org/directory"
        account key "/etc/acme/letsencrypt-staging-privkey.pem"
}

вообще никакой сетевой деятельности не проводит

Он же тебе говорит, что не нашёл в конфиге твой домен. Настрой сначала правильно.

в каком конфиге, какой домен?

Читай man, там всё написано. :)

я думал, что там можно просто команду ввести. а если там два ведра конфигов непонятных мне ещё писать (почитал ман - ничё не понял), то мне оно, значит, и не нужно :)

я прочёл man acme-client.conf - вообще ничё не понял. ключи какие-то, челенч-дир какой-то... *папа, а нахрена нам всё это в зоопарке*.

я то думал, команду эту вводишь, и всё

Писать команды в ручную — идиотизм. Для этого есть конфиг, что бы через 3 месяца муяительно не вспоминать, что же ты там набирал. :)

Регистрируешь домен на себя, потом настраиваешь свою доменую зону.

доменую зону

о_O

где настраиваешь-то?

я думал, эта фиговина сама все ключи наделает и все конфиги пропишет. ну, я так понял из разговора.

acme-client.conf:

authority letsencrypt {
        agreement url "https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf"
        api url "https://acme-v01.api.letsencrypt.org/directory"
        account key "/etc/acme/letsencrypt-privkey.pem"
}

authority letsencrypt-staging {
        agreement url "https://letsencrypt.org/documents/LE-SA-v1.1.1-August-1-2016.pdf"
        api url "https://acme-staging.api.letsencrypt.org/directory"
        account key "/etc/acme/letsencrypt-staging-privkey.pem"
}

#domain example.com {
#       alternative names { secure.example.com }
#       domain key "/etc/ssl/private/example.com.key"
#       domain certificate "/etc/ssl/example.com.crt"
#       domain full chain certificate "/etc/ssl/example.com.fullchain.pem"
#       sign with letsencrypt
#}

domain 1t.ru {
       alternative names { www.1t.ru }
        domain key "/etc/ssl/acme/private/1t.ru.key"
        domain certificate "/etc/ssl/acme/1t.ru.crt"
        domain full chain certificate "/etc/ssl/acme/1t.ru.pem"
        sign with letsencrypt
}

/etc/httpd.conf:

server "1t.ru" {
        listen on egress port 80
        #listen on egress tls port 443

        #tls certificate "/etc/ssl/acme/1t.ru.pem"
        #tls key "/etc/ssl/acme/private/1t.ru.key"

        no log

        location "/.well-known/acme-challenge/*" {
                root "/acme"
                root strip 2
        }

        root "/htdocs"
}

types {
        include "/usr/share/misc/mime.types"
}

# acme-client -vAD 1t.ru

После получения сертификата, можно откоменнтировать SSL поддержку в /etc/httpd.conf.

        location "/.well-known/acme-challenge/*" {
                root "/acme"
                root strip 2
        }

это чё за фигня? и где var/www/acme прописывается? вообще, у меня nginx, там есть аналог strip?

acme-client -n
acme-client: cannot stat /etc/ssl/acme/private/1t.ru.key: No such file or directory

/var/www/acme

Оно уже там, при установке acme-client. Я никакие директории не создавал, просто написал конфиг. Все работает.

acme-client -n

запускай как я говорил.

https://github.com/hlandau/acme

Просто настраивается, работает, обновляет.

это родной сервер OpenBSD httpd. Для другого настраивай сам :)

acme-client: bad exit: netproc(39558): 1

ругается на то, что запросы к .well-known дают Error 404

/var/www/acme - пустой

да какая разница, какой сервер - var/www/acme пустой. где оно вообще прописывается, что должно именно туда?

acme-client: transfer buffer: [{ «type»: «urn:acme:error:rateLimited», «detail»: «Error creating new authz :: Too many invalid authorizations recently.», «status»: 429 }] (144 bytes)
acme-client: bad exit: netproc(76752): 1

всё, меня забанили?

Я тебе привел рабочую конфигурацию. У меня так и все работает. Никаких директорий специально не создавал.

надо было стейджинг использовать, а теперь да, забанили

всё, меня забанили?

похоже

ну и хрен с ним :)

работает, кажись

https://51t.ru/

всем спасибо за шаманство :)