使用官方工具 Certbot 產生 Let’s Encrypt SSL 憑證給 IIS 多域名 (Multi-Domin SSL Certificate) 全詳細教程

最近要替 IIS 更新 Let’s Encrypt 三個月期限的憑證,發現使用快半年的 FreeSSL 突然不能申請了(請參閱:SSL For Free 多域名(Multi-Domin SSL Certificate)要收費,改用FreeSSL.cn解決流程分享),會一直跳出「acme: urn:ietf:params:acme:error:badPublicKey: sa.StorageAuthority.KeyBlocked timed out after 5000 ms」錯誤訊息,看起來是這個平台已經有問題無法申請,這些平台最終還是以收費為主。

後來小編還是認真研究了一下 向 Let’s Encrypt 註冊免費的 SSL/TLS 憑證輔助工具(網址:ACME Client Implementations),基本上任何工具只要實作 ACME(Automatic Certificate Management Environment)協定,就可以順利的向 Let’s Encrypt 組織申請到為期 3 個月的免費 SSL/TLS 憑證,當然其中也可以包含萬用子網域憑證。

沒錯小編這次要講兩個方法解決萬用子網域憑證申請方式,因為畢竟大部分介紹都是單一網域來說明!先來說這個以 Let’s Encrypt 官網推薦的 Certbot 工具,分享完整的 Let’s Encrypt 申請與在 IIS上設定步驟!

小編的使用環境:

  • Windows Server 2008 R1 SP1
  • IIS 7.5
  • 兩個網域,各有 3~4 子域名皆都需要憑證

1. 請到 Certbot 官網於下方說明,在https://dl.eff.org/certbot-beta-installer-win32.exe下載適用於 Windows 的最新版本安裝檔。(因為小編來不及擷取安裝畫面,所以後面都是以文字敘述)

2. 下載完成後直接執行安裝,很簡單的下一步下一步就可以完成,且也會自動設定好 PATH 環境變數,也就是說接下來用命令提示字元( Command Prompt )操作時,就不用特別切換到安裝目錄了。

3. 以系統管理員身份執行開啟命令提示字元(或 PowerShell 命令列視窗)。

4. 先測試一下 Certbot,執行:
certbot –version
certbot -h

5. 準備好你要申請的域名(注意:要有權限可以控管該域名的 DNS),小編因為在同台主機上有兩個不同的域名,且都需要萬用子網域!就以 abc.com.tw、test.net 兩個域名為例來說明。

6. 請輸入以下命令同時產生 abc.com.tw、test.net 兩個萬用子網域憑證
certbot certonly –manual -m youremail@example.com -d *.abc.com.tw -d *.test.net

7. 接著就是「互動式」的方式完成設定,顯示偵錯紀錄檔的路徑與要你輸入 y 同意服務使用條款
Saving debug log to C:\Certbot\log\letsencrypt.log
Plugins selected: Authenticator manual, Installer None
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server. Do you agree?
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
(Y)es/(N)o: y

8. 問你是不是要提供 E-mail 給 Electronic Frontier Foundation (EFF) 做註冊使用?這個步驟會將你的 E-mail 自動註冊為 ACME 帳戶!
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
Would you be willing, once your first certificate is successfully issued, to
share your email address with the Electronic Frontier Foundation, a founding
partner of the Let’s Encrypt project and the non-profit organization that
develops Certbot? We’d like to send you email about our work encrypting the web,
EFF news, campaigns, and ways to support digital freedom.
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
(Y)es/(N)o: y
Account registered.

9. 發出憑證請求,下面訊息很清楚的說明完成 dns-01、dns-02 驗證,得通過驗證才能「證明」你真的擁有該域名。
Requesting a certificate for *.abc.com.tw and *.test.net
Performing the following challenges:
dns-01 challenge for abc.com.tw
dns-02 challenge for test.net

10. 這裡其實他一共有兩種驗證方式,一個是http 網站連結方式驗證,另一個是 DNS 域名驗證。要特別說明的是若你是申請跟小編一樣萬用子網域憑證的,又或者你的網站還沒有上線,沒有對外的網站連結的話,都只能使用 DNS 域名驗證喔!所以前面才會提到要有 DNS 控制權限!這個跟之前透過 SSL For Free 和 Freedns.cn 申請時一樣!
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
Please deploy a DNS TXT record under the name
_acme-challenge.abc.com.tw with the following value:
GY_prmhxrXuRBbw3G76hn_2WJKdey1w0dHkk7-bhg7
Before continuing, verify the record is deployed.
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
Press Enter to Continue

11. 看到上面的說明就是要到 DNS 域名管理上設定新增一筆 TXT 紀錄到 _acme-challenge.abc.com.tw 的域名上,並將其值設定為 GY_prmhxrXuRBbw3G76hn_2WJKdey1w0dHkk7-bhg7,然後按下 Enter 繼續。

12. 免費憑證申請成功,並顯示憑證檔路徑,Certbot 還會幫你訂閱一個 EFF mailing list 郵件清單,並提示你憑證 PEM 檔案所在路徑與憑證到期日:
Waiting for verification…
Cleaning up challenges
Subscribe to the EFF mailing list (email: youremail@example.com).

IMPORTANT NOTES:
– Congratulations! Your certificate and chain have been saved at:
C:\Certbot\live\abc.com.tw\fullchain.pem
Your key file has been saved at:
C:\Certbot\live\abc.com.tw\privkey.pem
Your certificate will expire on 2022-02-22. To obtain a new or
tweaked version of this certificate in the future, simply run
certbot again. To non-interactively renew *all* of your
certificates, run “certbot renew”

– If you like Certbot, please consider supporting our work by:
Donating to ISRG / Let’s Encrypt:   https://letsencrypt.org/donate
Donating to EFF:                                 https://eff.org/donate-le

13. OK!我們就可以從  C:\Certbot\live\abc.com.tw 目錄看到產生的憑證檔案清單:

14. 接著將產生的這份 TLS/SSL 憑證到 IIS 就必須再產生 PFX (PKCS#12) 憑證檔案才能安裝,這個之前 SSL For Free 有教過(可以去參考這篇:使用 SSL For Free 產生 Let’s Encrypt SSL 憑證上傳給 IIS 站台使用),小編就不特別在這邊說明!直接在 Command 用 OpenSSL 工具產生 PFX 憑證檔,命令如下(請先確認你自己安裝的 Openssl 路徑):
C:\Program Files\OpenSSL-Win64\bin>openssl.exe pkcs12 -export -out “certificate_combined.pfx” -inkey “privkey.pem” -in “cert.pem” -certfile “fullchain.pem”

15. 接著輸入產生 PFX 憑證檔密碼,到時匯入憑證時才能用!在相同目錄下應該就會看到 certificate_combined.pfx 檔案,就可以匯入到 IIS 憑證管理員裡面囉!到這邊應該就大功告成。另外這個產生 PFX 憑證檔若你日後有配合工作排程來達到自動產生的話,也可以透過批次檔來用,範例如下:

SET PASSWORD=QaWsEdRf
“\Program Files\OpenSSL-Win64\bin\openssl.exe” pkcs12 -export -out “G:\certificate_combined.pfx” -inkey “privkey.pem” -in “cert.pem” -certfile “fullchain.pem” -password “pass:%PASSWORD%”

做個筆記,避免日後需要!後面還有個方式在 Windows Server IIS 平台上非常的方便!小編另一篇分享。

發佈留言

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料