Posted on by

在CentOS 7的Xampp中使用Certbot

Certbot介紹

Certbot是一個由EFF（Electronic Frontier Foundation）開發的免費開源工具，用於自動化在Web服務器上部署SSL/TLS證書。它是一個自動化的客戶端，可以讓您輕鬆獲得免費的SSL/TLS證書，以保護您的網站通信，避免了手動創建證書的複雜過程。

Certbot支持多種服務器軟件，包括Apache、Nginx、HAProxy、Amazon Web Services等，它使用ACME（自動化證書管理環境）協議從Let’s Encrypt證書頒發機構獲取SSL/TLS證書。使用Certbot，您可以輕鬆地為您的網站啟用HTTPS協議，提高網站的安全性和可靠性。

如何安裝

CerBot的安裝很貼心，在官方網站就可以選擇你所使用的環境，然後他就會有很詳細的安裝教學了

官方網站: https://certbot.eff.org/

使用XAMPP的認證指令

若是要認證XAMPP的APACHE，不能直接使用–apache，而是要使用apache-ctl，如下: 

sudo certbot certonly --webroot --apache-ctl /opt/lampp/bin/apachectl

錯誤訊息除錯 – Could not find configuration root

下面這個錯誤訊息代表這個認證機器人不知道你的網站的本地端http files靜態路徑的位置

packages/certbot_apache/_internal/parser.py", line 924, in _find_config_root
    raise errors.NoInstallationError("Could not find configuration root")
certbot.errors.NoInstallationError: Could not find configuration root

解決方法: 在執行指令的時候告知http files靜態路徑的位置

sudo certbot certonly --webroot --apache-ctl /opt/lampp/bin/apachectl

或者

sudo certbot renew --webroot -w /var/www/html/

錯誤訊息除錯 – Please add a virtual host for port 80

ERROR:certbot._internal.log:Unable to find a virtual host listening on port 80 which is currently needed for Certbot to prove to the CA that you control your domain. Please add a virtual host for port 80.

這個錯誤提示表明Certbot無法在端口80上找到正在偵聽的虛擬主機，以便證明您控制域名。這是因為Certbot需要在域名的80端口上創建一個臨時HTTP服務器來進行驗證，以證明您控制該域名。

要解決這個問題，您需要在Apache服務器上為端口80添加虛擬主機配置。

在/opt/lampp/apache2/conf/httpd.conf添加以下內容

<VirtualHost *:80>
    ServerAdmin your-email@example.com
    ServerName your-domain.com
    DocumentRoot /var/www/html
</VirtualHost>

接著重啟XAMPP

sudo /opt/lampp/lampp stop
sudo /opt/lampp/lampp start

或者

sudo service apache2 restart

其他除錯方向

  1. 防火牆沒有開：可以在本機中用curl去打IP，和從外面打，若是裡面可以外面不行，代表防火牆沒有開
  2. httpd設定只有localhost可存取: 應要把權限設定為”require all granted”。可用下面指令去搜尋電腦的httpd.conf的位置，並且尋找是不是你的網站被設定為”Require local”
sudo find / -name httpd.conf

成功拿到Certbot的SSL/TSL憑證

會可以看到下面的訊息，或許我們會懷疑為什麼都是pem，而不是.crt和.key，這是因為SSL/TLS憑證的格式可以有很多種，其中PEM格式是其中一種常見的格式，而.crt和.key則是PEM格式的一種變體。

Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/bliss-angel.org/fullchain.pem
Key is saved at:         /etc/letsencrypt/live/bliss-angel.org/privkey.pem

PEM格式是一種基於Base64編碼的標準格式，可以將數字證書和私鑰等敏感信息以文本格式表示出來，同時保持數據的可讀性。PEM格式的憑證通常以”.pem”為文件擴展名，可以包含公鑰、私鑰、憑證鏈等信息。

而.crt和.key則是PEM格式的一種變體，.crt檔案包含數字證書，.key檔案包含私鑰。這兩種檔案格式同樣是基於Base64編碼的PEM格式，只是文件名和內容有所不同。

為什麼有時候會看到PEM格式的憑證而不是.crt和.key檔案呢？這是因為PEM格式憑證可以包含多種類型的數字證書和私鑰，而且可以被用於多種網絡應用程序。例如，在OpenSSL等工具中，PEM格式憑證可以用於SSL/TLS加密、S/MIME郵件加密、SSH服務器驗證等方面。

因此，當你拿到一個PEM格式的憑證時，可以通過文件內容判斷它所包含的數字證書或私鑰類型。如果你需要將PEM格式憑證轉換成.crt和.key檔案，你可以使用OpenSSL等工具進行轉換。

但是這不影響的，仍然可以在/opt/lampp/etc/extra/httpd-ssl.conf設定，然後重啟Apache後SSL證書就生效囉!

SSLCertificateFile "/etc/letsencrypt/live/bliss-angel.org/fullchain.pem"
SSLCertificateKeyFile "/etc/letsencrypt/live/bliss-angel.org/privkey.pem"