תעודת אבטחה לשרת עם ((Apache על מערכת Windows+ התקנה.

[yossiz]

@shmuel0990 אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

למה הם לא משתמשים בהוחכות נורמאליות כמו כל חברה

כי רצו לאמטט את התהליך שלא יהא צורך בתמיכה. זה פרוייקט בלי מטרות רווח ואין להם משאבים עבור לשלם צוות.

[שמואל4]

@yossiz מעניין...
אגב, אני לא מצליח להוציא אישור להתקנה.
צריך להיות לי חבילה של אישור CA והוא נותן לי בקובץ crt רק אישור משתמש...

[שמואל4]

@yossiz אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

@shmuel0990 אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

למה הם לא משתמשים בהוחכות נורמאליות כמו כל חברה

כי רצו לאמטט את התהליך שלא יהא צורך בתמיכה. זה פרוייקט בלי מטרות רווח ואין להם משאבים עבור לשלם צוות.

מה נראה לך גוגל שאני פותח חשבון עם סיומת דומיין נציג צריך לאשר את זה? זה אוטומאתי שהם רואים שהתעבורה מופנת אילהם.
אז למה פה זה לא ככה

[yossiz]

@shmuel0990 תאמין לי, יש אנשים חכמים מאחורי זה, אם זה ככה, סימן שזה צריך להיות ככה...

[clickone]

@yossiz אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

לקבל תעודה מ-letsencrypt צריך להוכיח שהדומיין שייך לך. הם לא סתם נותנים. ובשביל להוכיח צריך להריץ תוכנה.

עקרונית האימות בעלות זה ע"י שאתה שם קובץ במיקום מוסכם איתם.
בד"כ המיקום באתר הוא

/.well-known/acme-challenge

כל הרעיון של התוכנה זה רק installer שעושה את כל התהליך לבד כולל החידוש האוטומטי כל X זמן.

שיטת האימות הזו מקובלת ונפוצה גם בגוגל ועוד.

מה שכן, אם הדומיין מתארח על שרת שיתופי, אז יש אפשרות טכנית לגנוב סאב דומיין + HTTPS שלו.

[שמואל4]

@clickone נכון. אבל רק סאב דומיין.
אז אני יאמת את הדומיין שלי הראשי.

אבל לא משנה. אולי אחרי זה.... עכשיו יותר חשוב לי לביינתים איך אני מוציא אישור אבטחה מהאפצ'י שיהיה ניתן להתקינו במכשירים אחרים כדי שאני יקבל חיבור מאובטח באתר שלי?

אגב, כאשר אני מקבל אישור אבטחה אני צריך לקבל אישור נפרד לכל סאב דומיין?

[שמואל4]

@yossiz אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

@shmuel0990 אם אתה רוצה שכל דפדפן יכיר בתעודה, אתה חייב תעודה רשמית. (אתה לא חייב לקנות כי יש שירות חינמי - letsencrypt) אבל זה מחזיר אותנו לתחילת האשכול...
אם מספיק לך תעודה אישית שתצטרך להתקין שבכל דפדפן/מחשב שמשתמש באתר, אז התעודה הזאת מספיק רק צריך להתקין את החלק הציבורי בכל מחשב שמשתמש באתר.

טוב. אני יתחיל. מה להוריד?

win-acme.azure.v2.0.8.356.zip
340 KB
win-acme.dreamhost.v2.0.8.356.zip
4.51 KB
win-acme.route53.v2.0.8.356.zip
331 KB
win-acme.v2.0.8.356.zip
2.73 MB
Source code
(zip)
Source code
(tar.gz)

[yossiz]

@shmuel0990 מן הסתם זה: win-acme.v2.0.8.356.zip

[שמואל4]

@yossiz נכון. אני רואה. אני מנסה לעבוד אם זה בא נראה.

[שמואל4]

@yossiz מה לכתוב? SSL??

[yossiz]

@shmuel0990 תכתוב 1

[שמואל4]

@yossiz אוקי מבקש ממני לרשום שמות מארחים.
אני ירשום רק את הדומיין הראשי?

[שמואל4]

פוסט זה נמחק!

[yossiz]

@shmuel0990 אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

אני ירשום רק את הדומיין הראשי?

אהממ... זה לא יעבוד עבור סאבדומיינים. יש אפשרות של wildcard (כלומר, ‎*.mydomain.com) ...

[שמואל4]

@yossiz אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

@shmuel0990 אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

אני ירשום רק את הדומיין הראשי?

(ד"א שם הדומיין שלך גלוי בצילום מסך שהעלית...)

אוף. תמיד אני נכשל .

מה הכוונה רק סאב דומיינים? עלי להתחיל את זה מהתחלה ולכתוב

*.shshsh.shsh

[clickone]

אפשר לעשות על כל סאב דומיין בנפרד. (זה מה שאני עושה בשרתים שלי)
בכלל, כל מה שאתה חושף על הדומיין שלך לא אמור להיות חשוף כלל
וזה לדעתי מסוכן.
בעיקר הMYSQL

[שמואל4]

@clickone אני לא חושב שחשפתי פה יותר מידי...

[yossiz]

@clickone אמר בתעודת אבטחה לשרת עם nginx על מערכת Windows+ התקנה.:

אפשר לעשות על כל סאב דומיין בנפרד. (זה מה שאני עושה בשרתים שלי)

נסית wildcard? יש סיבה לא להשתמש?

[שמואל4]

@yossiz אני לא יודע. אני לא מבין בזה כל כך.
מה בעיקרון אני צריך לעשות כדי לקבל אישור?... התחלתי לפי מה שאמרת...
אגב, @clickone ברגע שיש אישור זה מאושר לכל הזמן לכל הסאב דומיינים?

בא נאמר ככה, אם אני אגדיר הכל טוב מייד אני יקבל אישור אבטחה או שזה לוקח זמן?

[clickone]

@yossiz
לא ניסיתי
כי אני משתמש בIIS על השרת ווינדוס
ושם הכל אוטומטי כולל החידוש (ממשק די דומה למה ש @shmuel0990 העלה כאן)
סוג של התקן ושכח....

אגב גם certbot פשוט מקים תעודה בנפרד לכל סאב דומיין (לפחות בשרתי לינוקס שאני ניסיתי)

@shmuel0990 לא. אא"כ תלך על מה ש @yossiz הציע.
אחרת, כל סאב דומיין צריך להיות בנפרד. (בשנייה שנדע איך עושים את זה על הראשון כל השאר כבר ירוץ)

ד"א, לגבי מה שכתבתי שזה מסוכן, אל תשכח שיש מספיק רובוטים שסורקים את הרשת ורק מחפשים פירצות.
אין סיבה שהם לא ימצאו את הIP שלך, ובריצה על הלינקים ימצאו כניסה לphpmyadmin ואז תתחיל החגיגה