Установка SSL на Ubuntu: Полное руководство для разработчиков и DevOps

# Обновляем пакеты системы
sudo apt update
sudo apt upgrade -y

# Устанавливаем необходимые утилиты
sudo apt install -y curl wget git nano

# Проверяем версию Ubuntu
lsb_release -a

# Добавляем репозиторий Certbot
sudo apt install -y software-properties-common
sudo add-apt-repository -y ppa:certbot/certbot
sudo apt update

# Устанавливаем Certbot
sudo apt install -y certbot python3-certbot-apache  # Для Apache
# ИЛИ
sudo apt install -y certbot python3-certbot-nginx   # Для Nginx

# Для Apache
sudo certbot --apache -d example.com -d www.example.com

# Для Nginx
sudo certbot --nginx -d example.com -d www.example.com

sudo mkdir -p /etc/ssl/example.com
sudo chmod 700 /etc/ssl/example.com

# Обычно у тебя будет три файла:
# 1. example.com.crt  - основной сертификат
# 2. example.com.key  - приватный ключ
# 3. ca_bundle.crt    - цепочка доверия (интермедиат)

# Копируем файлы
sudo cp example.com.crt /etc/ssl/example.com/
sudo cp example.com.key /etc/ssl/example.com/
sudo cp ca_bundle.crt /etc/ssl/example.com/

# Устанавливаем правильные права
sudo chmod 600 /etc/ssl/example.com/example.com.key

sudo nano /etc/apache2/sites-available/example.com-ssl.conf

<VirtualHost *:443>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example.com/public_html

    SSLEngine on
    SSLCertificateFile /etc/ssl/example.com/example.com.crt
    SSLCertificateKeyFile /etc/ssl/example.com/example.com.key
    SSLCertificateChainFile /etc/ssl/example.com/ca_bundle.crt

    # Настройки безопасности
    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
    SSLHonorCipherOrder on
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

    ErrorLog ${APACHE_LOG_DIR}/example.com_error.log
    CustomLog ${APACHE_LOG_DIR}/example.com_access.log combined
</VirtualHost>

# Активируем SSL модуль и сайт
sudo a2enmod ssl
sudo a2ensite example.com-ssl.conf

# Перезапускаем Apache
sudo systemctl restart apache2

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com www.example.com;

    ssl_certificate /etc/ssl/example.com/example.com.crt;
    ssl_certificate_key /etc/ssl/example.com/example.com.key;
    ssl_trusted_certificate /etc/ssl/example.com/ca_bundle.crt;

    # Modern SSL configuration
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 1d;

    # HSTS
    add_header Strict-Transport-Security "max-age=63072000" always;

    root /var/www/example.com/html;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }
}

# Проверяем конфигурацию Nginx
sudo nginx -t

# Перезагружаем Nginx
sudo systemctl reload nginx

# Тестируем автоматическое обновление
sudo certbot renew --dry-run

# Добавляем задание в cron
sudo crontab -e

# Обновление SSL сертификатов каждый день в 3:00
0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"
# Или для Apache:
# 0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload apache2"

# Проверяем SSL соединение
openssl s_client -connect example.com:443 -servername example.com

# Проверяем цепочку сертификатов
curl -I https://example.com

# Используем онлайн-инструменты:
# 1. SSL Labs (https://www.ssllabs.com/ssltest/)
# 2. Why No Padlock? (https://www.whynopadlock.com/)
# 3. SSL Checker (https://www.sslshopper.com/ssl-checker.html)