Хостинг Беларусь Хостинг Беларусь
Хостинг Беларусь Хостинг Беларусь

Блог / Статьи

Полезная информация для вашего хостинга

Как превратить обычный Apache в защищённый HTTPS-сервер с Let's Encrypt: руководство для Ubuntu 20.04 и 22.04

Как превратить обычный Apache в защищённый HTTPS-сервер с Let's Encrypt: руководство для Ubuntu 20.04 и 22.04

Блог

Содержание

В эпоху цифровых угроз и массовой слежки простой HTTP-сайт выглядит как дом без замка. Любой посетитель, любой бот, любой злоумышленник может перехватить данные, подменить контент или украсть авторизационные токены. Решение простое, но мощное — HTTPS. И лучший способ получить его бесплатно, надёжно и с автоматическим обновлением — это использовать Let’s Encrypt в связке с Certbot на сервере под управлением Apache и операционной системой Ubuntu 20.04 или 22.04.

Эта статья — не просто инструкция. Это детальный, всесторонний гид по превращению вашего веб-сервера из уязвимого куска ПО в защищённую, современную, соответствующую стандартам 2025 года инфраструктуру. Мы не просто установим сертификат — мы настроим шифрование, включим HSTS, протестируем безопасность, создадим резервные копии и научимся диагностировать ошибки. Готовы? Поехали.

Подготовка системы: фундамент безопасности

Прежде чем устанавливать SSL-сертификаты, нужно убедиться, что фундамент крепок. Это означает — обновлённую систему, работающий веб-сервер и корректно настроенные зависимости. Пропуск этого этапа — как строить дом на песке: красиво, но недолго.

Начнём с обновления пакетов. Это не просто формальность — это защита от уязвимостей, которые могут быть исправлены в новых версиях пакетов. Выполните команду:

sudo apt update && sudo apt upgrade -y

Команда apt update обновляет список доступных пакетов из репозиториев, а apt upgrade устанавливает все доступные обновления. Флаг -y автоматически подтверждает действия, чтобы не прерывать процесс вопросами.

Теперь установим Apache, если он ещё не установлен:

sudo apt install apache2 -y

После установки убедимся, что сервер запущен и работает:

sudo systemctl status apache2

Если статус active (running) — отлично. Если нет, запустите вручную:

sudo systemctl start apache2

Теперь активируем модуль mod_ssl — без него Apache не сможет работать с HTTPS:

sudo a2enmod ssl

Перезапустим Apache, чтобы изменения вступили в силу:

sudo systemctl restart apache2

Проверим, слушает ли Apache порт 443 (стандартный порт для HTTPS):

sudo ss -tulpn | grep ':443'

Если вывод пуст — значит, SSL-модуль не активирован или конфигурация не применена. Проверьте логи:

sudo journalctl -u apache2 --since "10 minutes ago"

Частая причина — конфликт с другим веб-сервером (например, Nginx) или Docker-контейнером, который уже занял порт 443.

Установка Certbot: ваш автомат по сертификатам

Certbot — официальный клиент Let’s Encrypt. Он автоматизирует получение, установку и продление SSL-сертификатов. Но способ установки отличается в Ubuntu 20.04 и 22.04, и это важно понимать.

lets02

Установка Certbot в Ubuntu 20.04: через APT и PPA

В Ubuntu 20.04 рекомендуется использовать репозиторий PPA (Personal Package Archive), чтобы получить актуальную версию Certbot. Версия из основного репозитория может быть устаревшей, что приведёт к проблемам с новыми функциями или совместимостью.

Добавим PPA-репозиторий:

sudo add-apt-repository ppa:certbot/certbot

Обновим список пакетов:

sudo apt update

Установим Certbot и плагин для Apache:

sudo apt install certbot python3-certbot-apache -y

Плагин python3-certbot-apache позволяет Certbot автоматически настраивать виртуальные хосты Apache, что экономит кучу времени.

Установка Certbot в Ubuntu 22.04: через Snap (рекомендуемый способ)

Начиная с Ubuntu 22.04, разработчики Let’s Encrypt настоятельно рекомендуют использовать Snap — универсальную систему пакетов с автоматическим обновлением. Snap гарантирует, что у вас всегда будет самая свежая версия Certbot, без зависимости от репозиториев Ubuntu.

Сначала установим и обновим сам Snap:

sudo apt install snapd -y
sudo snap install core
sudo snap refresh core

Теперь установим Certbot как классический пакет (флаг --classic), чтобы он имел доступ к системным файлам Apache:

sudo snap install --classic certbot

Создадим символьную ссылку, чтобы команда certbot была доступна в системе:

sudo ln -s /snap/bin/certbot /usr/bin/certbot

Теперь команда certbot --help будет работать из любого места.

Важно: если вы видите ошибку Permission denied, проверьте права на директорию /usr/bin:

ls -l /usr/bin/ | grep certbot

Убедитесь, что у пользователя root есть права на запись.

Проверка доступности домена: ключ к доверию

Let’s Encrypt не выдаёт сертификаты просто так. Он требует доказать, что вы действительно управляете доменом. Это делается через проверку домена (domain validation). Certbot использует протокол ACME (Automated Certificate Management Environment), который включает HTTP- или DNS-проверку.

Мы будем использовать HTTP-проверку — самый простой способ. Для этого нужно:

  • Домен должен указывать на IP-адрес вашего сервера (через A-запись в DNS).
  • Порт 80 (HTTP) должен быть открыт для внешних запросов.
  • Веб-сервер должен отвечать на запросы к http://ваш-домен/.well-known/acme-challenge/.

Проверим DNS-запись:

dig ваш-домен.ru +short

Должен вернуться IP-адрес вашего сервера.

Теперь проверим, открыт ли порт 80. Если вы используете UFW (Uncomplicated Firewall), добавьте правило:

sudo ufw allow 'Apache'

Или, чтобы разрешить и HTTP, и HTTPS:

sudo ufw allow 'Apache Full'

Применим изменения:

sudo ufw reload

Проверим статус брандмауэра:

sudo ufw status

Вы должны увидеть:

Status: active

To                         Action      From
--                         ------      ----
Apache Full                ALLOW       Anywhere                  
Apache Full (v6)           ALLOW       Anywhere (v6)

Если порт 80 закрыт, Let’s Encrypt не сможет проверить домен, и сертификат не будет выдан.

lets03

Когда Certbot не проходит проверку: диагностика и исправление

Даже при идеальной настройке могут возникнуть ошибки. Вот самые частые и их решения:

Ошибка: "Failed to connect to host for DVSNI challenge"
Означает, что Certbot не может подключиться к вашему серверу по HTTP. Проверьте:

  • Работает ли Apache: sudo systemctl status apache2
  • Слушает ли Apache порт 80: sudo ss -tulpn | grep ':80'
  • Открыт ли порт 80 в UFW: sudo ufw status
  • Не блокирует ли порт облачный фаервол (например, в AWS, Google Cloud, Hetzner)?

Ошибка: "DNS problem: NXDOMAIN looking up A"
Let’s Encrypt не может найти A-запись для вашего домена. Проверьте:

  • Правильно ли указано имя домена в команде?
  • Прошло ли время распространения DNS (TTL)? Иногда нужно подождать до 24 часов.
  • Проверьте через dnschecker.org — видят ли все DNS-серверы мира вашу запись?

Ошибка: "Permission denied" при доступе к /etc/letsencrypt
Certbot не может записать сертификаты. Исправьте права:

sudo chown -R root:root /etc/letsencrypt

Или, если проблема с владельцем:

sudo chmod 755 /etc/letsencrypt

Получение SSL-сертификата: магия Certbot в действии

Теперь — самый важный момент. Запустим Certbot с плагином Apache:

sudo certbot --apache

Процесс будет интерактивным. Вам нужно:

  1. Указать email — для уведомлений о продлении и безопасности.
  2. Принять условия обслуживания (нажать A).
  3. Выбрать, получать ли рассылку от EFF (по желанию).
  4. Выбрать домены, для которых нужно включить HTTPS. Можно выбрать один или несколько.

После этого Certbot:

  • Создаст временный файл в /.well-known/acme-challenge/.
  • Попросит Let’s Encrypt проверить его доступность.
  • Получит сертификат и сохранит его в /etc/letsencrypt/live/ваш-домен/.
  • Автоматически настроит виртуальный хост Apache для HTTPS.
  • Добавит редирект с HTTP на HTTPS.

Готово! Ваш сайт теперь доступен по HTTPS.

Ручная проверка конфигурации: контроль за процессом

Хотя Certbot работает хорошо, всегда стоит проверить, что он сделал. Откройте конфигурационный файл SSL-хоста:

sudo nano /etc/apache2/sites-available/ваш-домен-le-ssl.conf

Убедитесь, что есть такие строки:

SSLCertificateFile /etc/letsencrypt/live/ваш-домен/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/ваш-домен/privkey.pem

Файл fullchain.pem содержит ваш сертификат и цепочку доверия, а privkey.pem — приватный ключ (никогда не передавайте его третьим лицам).

Также проверьте, что в HTTP-конфиге (ваш-домен.conf) есть редирект:



    ServerName ваш-домен.ru
    Redirect permanent / https://ваш-домен.ru/

После изменений перезагрузите Apache:
sudo systemctl reload apache2

Если ошибка — проверьте синтаксис:

sudo apache2ctl configtest

Автоматическое обновление сертификатов: забудьте о 90 днях

Сертификаты Let’s Encrypt живут 90 дней. Но не волнуйтесь — Certbot настраивает автоматическое обновление.

Если вы установили Certbot через APT — используется cron. Проверить задачу:

sudo systemctl status cron

Если через Snap — используется systemd timer:

sudo systemctl list-timers | grep certbot

Чтобы проверить, работает ли обновление, запустите тест:

sudo certbot renew --dry-run

Если вывод содержит Congratulations, all simulated renewals succeeded — всё в порядке.

Никогда не запускайте --force-renewal чаще, чем раз в неделю — Let’s Encrypt может заблокировать вас за превышение лимита (5 раз в неделю).

Проверка работоспособности HTTPS: зелёный замочек и уверенность

Откройте сайт в браузере: https://ваш-домен.ru. Вы должны увидеть:

  • Зелёный замочек в адресной строке.
  • Надпись "Безопасно".
  • Протокол HTTPS.

Проверим сертификат через консоль:

echo | openssl s_client -connect ваш-домен.ru:443 2>/dev/null | openssl x509 -noout -dates

Вы увидите даты начала и окончания действия сертификата.

Усиление безопасности Apache: от базового HTTPS к профессиональной защите

HTTPS — это только начало. Чтобы противостоять современным угрозам, нужно настроить шифрование и дополнительные механизмы.

lets06

Оптимизация параметров шифрования: защита от устаревших протоколов

По умолчанию Apache может разрешать старые, уязвимые протоколы: TLS 1.0 и 1.1. Их нужно отключить.

Отредактируем файл конфигурации SSL:

sudo nano /etc/apache2/mods-available/ssl.conf

Найдите строку SSLProtocol и замените её на:

SSLProtocol -all +TLSv1.2 +TLSv1.3

Это отключает все версии, кроме безопасных TLS 1.2 и 1.3.

Настроим набор шифров (cipher suite):

SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder on

Пояснение:

  • ECDHE — обеспечивает Perfect Forward Secrecy (PFS). Даже если приватный ключ скомпрометирован, прошлые сессии останутся зашифрованными.
  • AES-GCM — современный, быстрый и безопасный алгоритм шифрования.
  • SSLHonorCipherOrder on — сервер выбирает самый безопасный шифр из тех, что поддерживает клиент.

Перезагрузим Apache:

sudo systemctl reload apache2

HTTP Strict Transport Security (HSTS): защита от downgrade-атак

Атака типа downgrade — когда злоумышленник перехватывает соединение и заставляет браузер использовать HTTP вместо HTTPS. HSTS решает эту проблему.

Добавьте в конфиг SSL-хоста:

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

Что означает:

  • max-age=63072000 — 2 года. Браузер будет помнить, что сайт доступен только по HTTPS.
  • includeSubDomains — правило распространяется на все поддомены.
  • preload — возможность включения в глобальный список HSTS (требует регистрации на hstspreload.org).

Важно: после активации HSTS вы не сможете временно отключить HTTPS. Начинайте с малого срока (например, max-age=300), протестируйте, и только потом увеличивайте.

Проверка безопасности: независимые инструменты оценки

Проверим, насколько хорошо мы всё настроили:

  • SSL Labs (Qualys) — анализирует SSL/TLS, шифры, уязвимости. Цель — оценка A+.
  • Hardenize — более глубокий анализ: DNS, заголовки, политики безопасности.

Консольные команды для проверки:

# Проверка поддержки TLS 1.2
openssl s_client -connect ваш-домен.ru:443 -tls1_2

# Просмотр заголовков
curl -I https://ваш-домен.ru

Резервное копирование: когда всё идёт не по плану

Один опечатанный символ в ssl.conf — и Apache не запускается. Поэтому делайте бэкапы.

Создадим архив с конфигами Apache и сертификатами:

sudo tar -czvf /backup/apache_ssl_$(date +%F).tar.gz /etc/apache2/ /etc/letsencrypt/

Храните бэкапы на отдельном сервере, в облаке или хотя бы на внешнем диске. Это ваша "кнопка возврата".

Что делать, если…: ответы на частые проблемы

Сайт не открывается после настройки шифров?
Вернитесь к старому ssl.conf из бэкапа. Возможно, вы отключили шифры, которые нужны старым браузерам.

HSTS заблокировал доступ к HTTP?
Очистите кеш браузера или подождите, пока истечёт max-age. В будущем начинайте с малых значений.

Certbot не обновляет сертификаты?
Проверьте логи:

sudo grep certbot /var/log/syslog

Убедитесь, что таймер или cron активен. Запустите тестовое обновление: certbot renew --dry-run.

Заключение: ваш сервер теперь — крепость

Вы прошли весь путь: от установки Apache до настройки HSTS и резервного копирования. Теперь ваш сайт:

  • Работает по HTTPS с бесплатным сертификатом от Let’s Encrypt.
  • Автоматически обновляет сертификаты.
  • Использует современные протоколы TLS 1.2 и 1.3.
  • Защищён от downgrade-атак благодаря HSTS.
  • Имеет резервные копии на случай ошибок.

Это не просто замочек в браузере. Это доверие пользователей, защита данных и соответствие современным стандартам безопасности. Ваш сервер теперь — не просто веб-сайт, а защищённая цифровая крепость.

Продолжайте учиться, проверять и улучшать. Безопасность — это не цель, а процесс.