無料SSL「Let's Encrypt」をさくらのVPSに導入しました。

SSLの費用って高いですよね。
最近は安いものもありますが、シマンテックのようなちゃんとした企業の認証となると、とても高価です。

そこで、僕も最近知ったばかりの無料SSL「Let’s Encrypt」を導入することにしました。

Let’s Encrypt は、認証局（CA）として「SSL/TLSサーバ証明書」を無料で発行するとともに、証明書の発行・インストール・更新のプロセスを自動化することにより、TLS や HTTPS（TLSプロトコルによって提供されるセキュアな接続の上でのHTTP通信）を普及させることを目的としているプロジェクトです。
非営利団体の ISRG (Internet Security Research Group) が運営しており、シスコ（Cisco Systems）、Akamai、電子フロンティア財団（Electronic Frontier Foundation）、モジラ財団（Mozilla Foundation）などの大手企業・団体が、ISRG のスポンサーとして Let’s Encrypt を支援しています。

導入について

Let’s Encrypt の使い方を見ていただければ、ほぼほぼわかるかと思います。

一応、自分の手順も載せておきます。
OS:entOS release 6.8 (Final)

yumでepel-releaseも入れているはずですが、yumでインストールできず、wgetにて持ってきました。

wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto
./certbot-auto

落としてきたcertbot-autoを実行すると、対話形式でインストールが進められます。

どのドメインでhttpsを使うのかを聞いてくれたり、
以下のように、httpsへリダイレクトするかどうかまで確認してくれます。
この段階で確実にhttpsで動く保証がなかったので、僕は「1: Easy」にしました。

========================================================
Please choose whether HTTPS access is required or optional.
——————————————————————————-
1: Easy – Allow both HTTP and HTTPS access to these sites
2: Secure – Make all requests redirect to secure HTTPS access
——————————————————————————-
Select the appropriate number [1-2] then [enter] (press ‘c’ to cancel):
========================================================

インストールの段階でポート443を開いていないとインストールが完了しないので注意してくださいね。

インストールは思っていたよりもずっと簡単でした。

苦戦したポイント

SSLチェッカーにかけるとCommon Nameが違うと言われる

インストールが完了した時点で、/etc/httpd/conf.d/以下に、それまで使っていたconfにSSLの設定を追加する形で、新しいconfファイル(***-le-ssl.conf)を作ってくれています。
その中に、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFileを書いてくれていて、めちゃくちゃ親切！
でも、それだけでは動きませんでした。

SSLチェッカーにかけると、Common Nameが違うと言われる始末です。
Common Nameには、www****.sakura.ne.jpという標準ホスト名が出ていました。

結果的には、
/etc/httpd/conf.d/ssl.confの

VirtualHost _default_:443から
閉じタグの/VirtualHostまでをばっさり消すと動きました。

defaultの中にSSLCertificateFile等の初期設定が書かれていて、
そちらが使われてしまっていたのではないかと思われます。

ちゃんと動くようになってからは、SSLチェッカーでA判定ゲットです。