Ich habe bereits eine Anleitung geschrieben, wie ihr mit Certbot schnell Zertifikate erstellen könnt. In dieser Anleitung geht es nun darum, wie ihr diese Zertifikate automatisch erneuern lassen könnt.

Das automatische Erneuern lässt sich mit folgendem Befehl durchführen

certbot renew

Wenn ihr den Befehl testen wollt, dann könnt ihr ihn einfach in der Console eingeben mit folgendem Parameter:

certbot renew --dry-run

Dies bewirkt, dass das Update nur simuliert wird und keine Änderung an den Zertifikaten vorgenommen wird.

Ich habe bei mir den Webserver nginx laufen. Daher verwende ich hier für die Beispiele immer diesen Webserver. Certbot lässt sich jedoch ebenso für apache2 oder andere Webserver nutzen.

Nun gibt es 2 Varianten, wie ihr die Zertifikate updaten könnt. Ihr müsst die Variante wählen, die ihr bereits zum Erstellen der Zertifikate genutzt habt oder die Datei „/etc/letsencrypt/renewal/eure_domain.conf“ anpassen.

Wenn ihr nicht wisst, welche Variante ihr wählen müsst, dann könnt ihr folgende Datei öffnen und nachschauen:

nano /etc/letsencrypt/renewal/eure_domain.conf

Dort sollte nun stehen:

authenticator = webroot

oder

authenticator = standalone

1. Standalone

Wenn ihr den Webserver als „Standalone“ installiert habt, dann müsst ihr folgenden Befehl ausführen:

/usr/bin/certbot renew --pre-hook "/usr/sbin/nginx stop" --post-hook "/usr/sbin/nginx start"

Der Befehl bewirkt, dass der nginx Server zuerst gestoppt wird, bevor das Zertifikat erneuert wird. Danach wird der Server wieder gestartet. Dies ist notwendig, da sonst der benötigte Port bereits von nginx belegt wird.

2.Webroot

Bei der Variante „Webroot“ muss dieser Befehl verwendet werden:

/usr/bin/certbot renew  --post-hook "/usr/sbin/nginx restart"

Bei dieser Variante bleibt nginx dauerhaft online.

Crontab anlegen

Nachdem ihr den obigen Befehl erfolgreich ausprobiert habt, legen wir jetzt einen Cronjob an, damit dieser automatisch ausgeführt wird.

Das geht mit

crontab -e

Wenn ihr noch keinen Crontab angelegt habt, dann sollte folgende Meldung erscheinen. Hier drückt ihr einfach „1“.

cert_3

Nun solltet ihr folgendes sehen.

cert_4

Fügt am Ende der Datei folgende Zeile ein:

Standalone

PATH=/usr/sbin:/usr/bin:/sbin:/bin
0 4 1 * * /usr/bin/certbot renew --pre-hook "service nginx stop" --post-hook "service nginx start"

Webroot

PATH=/usr/sbin:/usr/bin:/sbin:/bin
0 4 1 * * /usr/bin/certbot renew  --post-hook "service nginx restart"

Die erste Zeile ist notwendig, da später der Service „nginx“ gestartet werden soll. Dazu müssen hier erst die passenden Umgebungsvariablen gesetzt werden.

Erklärung

1. Stelle: Minute -> 0
2. Stelle: Stunde -> 4
3. Stelle: Tag des Monats -> 1
4. Stelle: Monat -> *
5. Stelle: Wochentag -> *

Das Skript wird also immer am 1. Tag jeden Monats nachts um 4:00 gestartet.

Quelle:

https://certbot.eff.org/docs/using.html#renewal

Teile diesen Beitrag
Christian

Categories:

2 Kommentare

  1. Hallo mit dem Befehl „certbot renew –dry-run“ hatte ich so meine Probleme.

    ERROR:
    Attempting to renew cert from /etc/letsencrypt/renewal/DOMAIN.conf produced an unexpected error: Failed authorization proc edure. www.DOMAIN.com (http-01): urn:acme:error:unauthorized :: The client lacks sufficient authorization :: Invalid response from http://www.DOMAIN.com/.well-known/acme-challenge/wwoQ3_MwarLECvHB24drpN0MuZVkrR67XKoSiMf3aE156: "

    Lösung brachte folgendes in den vHosts:

    location ~ /.well-known {
    allow all;
    root /var/www/letsencrypt/;
    }

    Grüße

  2. Hej Christian,

     

    danke für die Anleitung. Pre- und Post-Hook haben bei mir zu Problemen geführt. Ich habe dann mal ohne und siehe da, Certbot hat die scheinbar inklusive:

     

    root@nextcloud:# /usr/bin/certbot renew
    Saving debug log to /var/log/letsencrypt/letsencrypt.log
    
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Processing /etc/letsencrypt/renewal/sub.domain.de.conf
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Cert not yet due for renewal
    
    
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    
    The following certs are not due for renewal yet:
    /etc/letsencrypt/live/sub.domain.de/fullchain.pem expires on 2019-04-13 (skipped)
    No renewals were attempted.
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    root@nextcloud:/etc/pcfeecom# /usr/bin/certbot renew --dry-run
    Saving debug log to /var/log/letsencrypt/letsencrypt.log
    
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Processing /etc/letsencrypt/renewal/sub.domain.de.conf
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Cert not due for renewal, but simulating renewal for dry run
    Plugins selected: Authenticator standalone, Installer None
    Running pre-hook command: service nginx stop
    Renewing an existing certificate
    Performing the following challenges:
    http-01 challenge for sub.domain.de
    Waiting for verification...
    Cleaning up challenges
    
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    new certificate deployed without reload, fullchain is
    /etc/letsencrypt/live/sub.domain.de/fullchain.pem
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    ** DRY RUN: simulating 'certbot renew' close to cert expiry
    ** (The test certificates below have not been saved.)
    
    
    
    Congratulations, all renewals succeeded. The following certs have been renewed:
    /etc/letsencrypt/live/sub.domain.de/fullchain.pem (success)
    ** DRY RUN: simulating 'certbot renew' close to cert expiry
    ** (The test certificates above have not been saved.)
    - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
    Running post-hook command: service nginx start
    root@nextcloud:#

    Viele Grüße

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.