☰

Cerbot mit DNS-Plugins, die auf mehreren Nginx ausgeführt werden, um dasselbe Zertifikat zu erneuern

tag-icon • tag-icon nginx ssl-certificate lets-encrypt certbot
Cerbot mit DNS-Plugins, die auf mehreren Nginx ausgeführt werden, um dasselbe Zertifikat zu erneuern

Ich versuche, mit Ansible (Ansible ist für die Frage nicht wirklich relevant, sondern soll nur das Gesamtbild vermitteln) die Certbot-Konfiguration bereitzustellen, um Wildcard-Zertifikate für einen Cluster von Nginx-Servern zu erhalten, deren Last ausgeglichen wirdHerzschrittmacher-Corosync.

Was ich bisher erreicht habe:

  • Mithilfe von DNS-Plugins (nsoneUndgandi) kann meine Wildcard-Zertifikate auf allen meinen Nginx-Servern abrufen
  • Alle meine Nginx sind so geplant, dass sie Zertifikate erneuern und die Simulation erneuern, wobei sudo certbot renew --dry-runalles gut läuft
  • Beide Nginx sind einsatzbereit und zeigen das von let’s encrypt gelieferte SSL-Zertifikat an.
  • Mir ist aufgefallen, dass jeder Nginx-Server sein SSL-Zertifikat anzeigt (ihr Hash ist unterschiedlich), 241a808949dac993ea865a22ec92c3e3952cd6b8 für Nginx1 und 82defeb9337d880f8d5380831c6527fb02c50a9b für Nginx2, und das macht mir ein wenig Sorgen.

Meine Fragen sind:

  • Gibt es ein Problem, wenn die Zertifikate auf jedem Server unterschiedlich sind, oder ist das so beabsichtigt?
  • Werde ich Probleme haben, wenn der Zeitplan in Kraft tritt und meine Zertifikate erneuert werden?
  • Muss ich bei Verwendung der DNS-Challenge die Zertifikate immer noch zwischen den Servern kopieren, anstatt Certbot zu verwenden, wie ich es tue (auf jedem Server)?

Ich habe diese Antwort gefundenhttps://serverfault.com/a/907911/606126aber ich bin nicht ganz sicher, ob das meine eigenen Fragen beantwortet.

Antwort1

Wenn Sie das Zertifikat auf jedem Host erneuern, erhält jeder ein separates Zertifikat.

Der Nachteil dieses Ansatzes besteht darin, dass Sie bei zu vielen Servern eine Geschwindigkeitsbeschränkung durch Let‘s Encrypt erhalten können.

Die andere Möglichkeit besteht darin, Certbot nur auf einem Host auszuführen und das Zertifikat dann manuell an die anderen Hosts zu verteilen.

Der einfachste Ansatz ist die Verwendung von Certbot-Post-Validierungs-Hooks. Sie erstellen ein Skript, das Zertifikate verteilt und Ihre Server nach der Erneuerung des Zertifikats konfiguriert/neu startet.

https://certbot.eff.org/docs/using.html#pre-and-post-validation-hooks

verwandte Informationen