certbotを使ってブログをSSL化にしてみました｡

certbotとは

certbotはLet’s Encryptを自動的に更新してくれるツールです｡公式サイトへ行って使用しているOSとWebサーバを指定するだけで､インストールコマンドを表示してくれて非常に親切ですが､SSLを動作させるには苦労しました｡

Let’s Encryptとは

フリーの証明書基幹です｡フリーなだけに有効期間が90日間ととても短いです｡そのため､certbotを使い自動的にSSLを更新するシステムにするわけです｡

certbotの設定について

fedora 31でapacheの場合の話になりますが､手動設定が必要になったところだけ説明したいと思います｡

# dnf install certbot certbot-apache
# certbot --apache
Saving debug log to /var/log/letsencrypt/letsencrypt.log
Error while running apachectl configtest.

AH00526: Syntax error on line 101 of /etc/httpd/conf.d/ssl.conf:
SSLCertificateFile: file '/etc/pki/tls/certs/localhost.crt' does not exist or is empty

上記のようにパッケージを入れてcertbotを実行すると応答式で設定完了するはずですが､エラーが出ます｡localhost.crtなんてファイルないよってね｡とりあえず､ここは気にせず設定をすすめます｡設定は通常と変わらないので割愛しますが､リダイレクト設定はしません｡

設定が終わったら､ssl.confを開いて証明書を指定しなおします｡

#SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateFile /etc/letsencrypt/live/kulog.org/cert.pem

#SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
SSLCertificateKeyFile /etc/letsencrypt/live/kulog.org/privkey.pem

#SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt
SSLCertificateChainFile /etc/letsencrypt/live/kulog.org/chain.pem

設定が終わったらhttpdを再起動するだけです｡

WordPressの設定

WordPressを使っている場合､管理画面で｢WordPress アドレス｣と｢サイトアドレス｣をhttpからhttpsに変更します｡これをやってからhttpsへのリダイレクト設定をします｡

WordPressアドレスが変更出来ない場合はwp-config.phpを編集します｡

次に､画像ファイル等のリンクをhttpからhttpsへ変更します｡プラグインのSearch Regexを使えば一括変換が出来ますので楽です｡これをしないと､せっかくSSL化にしても画像リンクがhttpのせいで警告がでてしまいます｡

Google AnalyticsとSearch Console

Analyticsは設定変更でOKです｡Google Search Consoleはhttpとhttpsを別サイトと認識するようなので､新たに追加しておきます｡

これで移行完了?

これでとりあえずSSL化は完了と思っています｡ほかに設定必要なことあるかな?

何が変わったのかなと楽しみにしていたのですが、Admin Consoleなるものがあってビックリしました。OSをインストールしたあとすぐに使うことが出来ます。
ブラウザで下記URLにアクセスするだけ！

https://ip address:9090/

ログインするとシステムのステータスなどが一目瞭然

ログも見ることが出来ます。
……sshd??

あーっ！ iptables設定忘れてた！！！
ここはfirewalldを使いたいところですが、すでにアタックされているのでまた今度の機会で。

あと変わったなぁと思ったのがNetwork Managerがメインとなっていたことです。nmtuiが使えない！ nmcliを覚えることになりました。なんかコマンドが長くて面倒！ でも、なれるとちょいちょいと直しやすいかも。

ちなみに下記コマンドでネットワーク設定を行います。

デバイス名確認
# nmcli device

ネットワーク設定
# nmcli connection modify ens123 ipv4.addresses 192.168.1.100/24
# nmcli connection modify ens123 ipv4.gateway 192.168.1.1
# nmcli connection modify ens123 ipv4.dns 192.168.1.100
# nmcli connection modify ens123 ipv4.method manual
# nmcli connection modify ens123 connection.autoconnect yes
設定再読込
# nmcli connection reload ens123
設定確認
# nmcli device show ens123
設定が反映されない場合
# nmcli con down ens123; nmcli con up ens123

ちなみにコマンドを下記のように省略することも出来ます。

connection > con > c
modify > mod > m
ipv4.addresses > ip4
ipv4.gateway > gw4

ip4の場合はipv4.addresses とipv4.method manualを実行したことと同じになります。
こんな感じになります。

# nmcli c m ens123 ip4 192.168.1.100/24
# nmcli c m ens123 gw4 192.168.1.1
# nmcli c m ens123 ipv4.dns 192.168.1.100

あとはNTPの標準がchronyになっていたことです。
設定はntpdとたいして変わらないので動作確認のコマンドだけメモします。

# chronyc sources
210 Number of sources = 3
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^+ str21.int-gw.kddi.ne.jp 2 10 377 776 +60us[ +74us] +/- 15ms
^+ str22.int-gw.kddi.ne.jp 2 10 377 509 -46us[ -46us] +/- 17ms
^* ntp-a3.nict.go.jp 1 10 377 691 -99us[ -85us] +/- 7534us

自分が使ってる分だとこの辺が変わった感じでした。
なにげにDockerとか気になっているのですが使用用途がさっぱり思いつかなくて、やる気起きないんですよね。そう考えるとFirewalldを覚えた方がやる気起きやすいのかも？

あとで知ったのですが下記をインストールするとnmtuiが使えました。

# dnf install NetworkManager-tui

UnicodeEncodeErrorに注目して調べたところ分かりました。
Pythonのデフォルトエンコードはasciiなのにutf-8で処理しようとしてエラーが起きていたようです。

[Python] UnicodeEncodeErrorが発生した場合は、sitecustomize.pyでデフォルトのエンコーディングを指定する。

sitecustomize.pyを下記のように作成します。

これでデフォルトエンコードがutf-8になりました。
しばらく放置しているとdnf-automaticが無事に動作しました。

一応、対策としてauditを停止してしまう方法がありました。
まずはauditの設定を確認します。

次にauditを無効化します。

これで/var/log/messagesへの書き込みどころか/var/log/audit/ への書き込みも停止します。この設定は一時的なので再起動しても反映されるようにします。

この２つのファイルを修正することでauditのログが消えてすっきりしますが、cronが走るたびに下記のログが流れるのは止まりません。

これを止めるには/etc/systemd/system.conf のLogLevelをnoticeにするといいそうですがダメでした。systemdの仕様を調べてみるとsyslogの設定に準ずるらしいのでrsyslogの設定を変えてみました。

これで余計なログが消えました。
このauditのログはjournalの仕様が確定しないと解決しなさそうです。
なにげにこれでauditを止めてもlogwatchではauditのログが出てきます。これはlogwatchが修正されないとダメなんでしょうね。

近々、Fedora23にして見ようと思います。
こんどはどんなバグが出てくるんだろうなぁ

追記：2015/11/26
logwatchにログが出てませんでした。
設定を変えて数日経ってからlogwatchを実行したらauditログが出てたので勘違いしてました。もう一日待ってから確認すればよかった。

追記： 2016/04/21
/etc/audit/rules.d/audit.rulesも編集しないとauditは完全に無効化出来ませんでした。

まず、iptablesを使えるようにします。

iptablesにルール追加

簡単に説明するとpop3とimapに対して
1時間に30回までしかアクセス出来ないようにします。

iptablesの設定を保存しておわり

なんだかiptablesの保存方法が変わった気がしますが
気のせいかな。

それにしてもFedoraの構築は毎回苦労させられます。
なぜかNetworkMnagerを無効にするとネットワークが
接続できなくなったのは謎でした。
あとで調べておこうかなぁ

それとMySQLからMariaDBになりましたね！
互換アプリなのでなにも変わらないんですけどね。

DiCEのインストール

必要パッケージのインストール

onamae.comを使う場合は32bitのlibssl.so.0が必要です。

32bit版がないのでパッケージを探します。

これで下準備は終了です。

ここからの設定は省略！

打つ文字数が増える上にサービス名が分かりづらくなりました。
SysVinitではパス指定だとサービス名をTab補完出来たので楽だったのです。

Fedora 18にしたらchkconfig –listの代替えコマンドが出来たのは助かりました。

# systemctl list-unit-files

これで同様の動きをしてくれます。
まだ発展途上なのかなぁ

httpd 2.4から設定ファイルがちょっと変更されたんですね。
VirtualHostの設定をhttpd.confに書かないのが普通になるのかな？
/etc/httpd/conf.d へ別ファイルにして記載するようです。
あんまり設定ファイルを分割するとSuSEみたいでイヤなんですけどね。

rep2-exもいつのまにかフォルダ構成が変わっていてアップデートして
ひどい目に遭いました。

ほかにDiCEの設定も予想以上に苦労したので別記事でメモしておこうと思います。

ということで試したところ、標準ではwolはないようです。
yumで探してみたところありました。

マニュアルをみるといろいろオプションがありますが
とりあえずMACアドレスだけでいけるようです。

MACアドレスにはコロンをつけないといけないようです。

準備は整いました。今度は外部からのwolを試して
リモートデスクトップですね。うまくいくといいなあ