Yleiskatsaus

SSL/TLS-varmenteella tehtävällä isännöityjen verkkosivujen yhteyksien salauksella yhteyksiin ja niistä on useita etuja, kuten:

• Verkkosivulle siirrettävien ja sieltä siirrettävien yksityisten tietojen suojaaminen.

• Verkkosivun laillisuuden varmistaminen ja kävijöiden luottamuksen lisääminen.

• Verkkosivun sijoittumisen parantaminen hakukoneiden tuloksissa.

Näiden etujen saavuttamiseksi varmenne on kuitenkin uusittava säännöllisesti. Vanhentunut varmenne menettää suuren osan arvostaan verkkosivulle, jota se suojaa. Varmenteiden ajan tasalla pitäminen on perinteisesti vaatinut manuaalisia toimia (varmenteen myöntäjän yhteydenotto varmenteen uusimiseksi ja sen asentaminen uudelleen käsin), mikä on aiheuttanut lisäkuormaa verkkosivun omistajalle tai järjestelmänvalvojalle ja edellyttänyt vanhentumispäivän seuraamista.

Tähän ongelmaan ratkaisu on ACME-protokolla. Se on mekanismi, jolla automatisoidaan sekä ”uudelleenmyöntäminen” että ”uudelleenasentaminen” osana prosessia. Alan toimijat ottavat tätä mekanismia käyttöön, ja useimmat johtavat varmenteiden myöntäjät tukevat sitä.

Plesk-ympäristössä ACME-protokollan tuki on ollut jo jonkin aikaa saatavilla Let’s Encryptin SSL/TLS-varmenteille. ACME SSL -laajennus laajentaa tuen kaikkiin ACME-protokollan tukeviin varmenteen myöntäjiin. Laajennus tarjoaa Plesk-ympäristössä sekä SSL It! -laajennukseen integroidun graafisen käyttöliittymän että CLI-komentorivin isännöityjen verkkosivujen suojaamisen integroimiseen ja automatisoimiseen ACME-protokollan avulla.

Laajennus voi myöntää ja uusia automaattisesti kaikkia varmennetyyppejä ilman rajoituksia. Tiettyjen varmennetyyppien saatavuus riippuu kyseisestä varmenteen myöntäjästä.

Laajennus tukee sekä HTTP‑01- että DNS‑01-haastetyyppejä. Jälkimmäisessä tapauksessa se toimii hyvin sekä Pleskin DNS-palvelimen että ulkoisen DNS-palvelun, kuten Amazon Route 53 tai DigitalOcean DNS), kanssa, kunhan Pleskin ja ulkoisen DNS-palvelun välinen integraatio on määritetty oikein (eli ulkoinen DNS-palvelu noutaa Pleskissä tehdyt DNS-muutokset ja reagoi niihin).

Edellytykset

Ennen kuin isännöityä verkkosivua voi suojata ACME-protokollan avulla, seuraavien edellytysten on täytyttävä:

• SSL It! -laajennus ja ACME SSL -laajennus on asennettava laajennusluettelosta.

• Sinun on hankittava ACME-hakemiston URL-osoite valitulta varmenteen myöntäjältä.

• (Valinnainen) Sinun on myös hankittava varmenteen myöntäjältä External Account Binding (lyhennettynä EAB) Key ID ja HMAC Key, jos se vaatii ACME EAB:tä (kaikki varmenteen myöntäjät eivät välttämättä vaadi ACME EAB:tä).

Verkkosivun suojaaminen ACME-protokollan avulla graafisen käyttöliittymän kautta

Tämä lähestymistapa soveltuu yksittäisten verkkosivujen suojaamiseen.

Verkkosivun suojaaminen ACME-protokollan avulla graafisen käyttöliittymän kautta:

1. Kirjaudu Pleskiin.

2. Valitse navigointipaneelissa Verkkosivustot ja toimialueet ja etsi sitten suojattava verkkosivu.

3. Valitse ”Koontinäyttö” -välilehdeltä SSL/TLS-varmenteet.

4. Vieritä sivun alareunaan ja valitse sitten kohdan ”Pyydä varmenne valitulta ACME-varmenteen myöntäjältä” alla Pyyntö.

5. Anna valitulta varmenteen myöntäjältä saamasi ACME-hakemiston URL-osoite.

6. (Valinnainen) Jos varmenteen myöntäjä vaatii sitä, anna EAB Key ID ja EAB HMAC Key.

7. Valitse halutut vaihtoehdot, kuten se, pyydetäänkö wildcard-varmenne tai suojataanko sähköposti ja/tai WWW-sähköpostipalvelu samalla varmenteella. Oletuksena on valittuna vaihtoehto ”Suojaa toimialueen nimi”, joka suojaa vain verkkosivun itsensä.

8. Kun olet valinnut kaikki halutut vaihtoehdot, valitse Pyyntö.

Verkkosivun suojaaminen ACME-protokollan avulla CLI:n kautta

CLI-komentoa voi kutsua shell-skriptin suorituksen aikana. Tämä lähestymistapa soveltuu, kun suojataan kerralla suuri määrä verkkosivuja tai kun automatisoidaan vastaperustettujen verkkosivujen suojaaminen.

Verkkosivun suojaaminen ACME-protokollan avulla CLI:n kautta:

1. Kirjaudu Plesk-palvelimelle SSH:n kautta root-käyttäjänä tai RDP:n kautta järjestelmänvalvojana. Voit myös käyttää SSH Terminal -laajennusta.

2. Kirjoita kuoreen seuraava komento:

   plesk ext sslit --certificate -issue -domain <FQDN of the website being secured>
   

3. Liitä yksi tai useampi halutuista vaihtoehdoista, kuten se, pyydetäänkö wildcard-varmenne tai suojataanko sähköposti ja/tai WWW-sähköpostipalvelu samalla varmenteella. Jos haluat suojata vain verkkosivun itsensä, määritä ”-secure-domain”:

   [-secure-domain -secure-www -secure-webmail -secure-mail -aliases -wildcard]
   

4. Liitä valitulta varmenteen myöntäjältä saamasi ACME-hakemiston URL-osoite:

   -directory-url <ACME directory URL>
   

5. (Valinnainen) Jos varmenteen myöntäjä vaatii sitä, liitä EAB Key ID ja EAB HMAC Key:

   -kid <Key ID> -hmac <HMAC Key>
   

6. Suorita komento.

Tältä komento voi näyttää:

plesk ext sslit --certificate -issue -domain example.com -secure-domain -wildcard -directory-url https://acme-v02.api.letsencrypt.org/directory

ACME-protokollan käytön rajoittaminen

Voit poistaa mahdollisuuden suojata verkkosivuja ACME-protokollan avulla graafisen käyttöliittymän kautta asiakas- ja jälleenmyyjätileiltä. Jos teet niin, osio ”Pyydä varmenne valitulta ACME-varmenteen myöntäjältä” isännöityjen verkkosivujen ”SSL/TLS-varmenne”-sivuilla näkyy vain järjestelmänvalvojille, vaikka ACME SSL -laajennus olisi asennettu.

Rajoita ACME-protokollan käyttö graafisen käyttöliittymän kautta vain järjestelmänvalvojille:

1. Avaa muokattavaksi panel.ini -tiedosto, joka sijaitsee tässä:

   • (Plesk for Linux) /usr/local/psa/admin/conf/panel.ini

   • (Plesk for Windows) %plesk_dir%admin\conf\panel.ini

   Voit myös muokata tiedostoa Plesk-liittymässä käyttämällä Panel.ini Editor -laajennusta.

2. Lisää tiedostoon seuraavat rivit:

   [ext-sslit]
   acmeExtensionIsAdminOnly = true
   

Kun muutos on tehty, asiakas- tai jälleenmyyjätilillä Plesk-liittymään kirjautuneet käyttäjät eivät enää näe osiota ”Pyydä varmenne valitulta ACME-varmenteen myöntäjältä” isännöityjen toimialueidensa ”SSL/TLS-varmenne”-sivuilla.