167 lines
4.0 KiB
Markdown
167 lines
4.0 KiB
Markdown
# SSL/TLS Setup für YourPart Daemon
|
|
|
|
Dieses Dokument beschreibt, wie Sie SSL/TLS-Zertifikate für den YourPart Daemon einrichten können.
|
|
|
|
## 🚀 Schnellstart
|
|
|
|
### 1. Self-Signed Certificate (Entwicklung/Testing)
|
|
```bash
|
|
./setup-ssl.sh
|
|
# Wählen Sie Option 1
|
|
```
|
|
|
|
### 2. Let's Encrypt Certificate (Produktion)
|
|
```bash
|
|
./setup-ssl.sh
|
|
# Wählen Sie Option 2
|
|
```
|
|
|
|
### 3. Apache2-Zertifikate verwenden (empfohlen für Ubuntu)
|
|
```bash
|
|
./setup-ssl.sh
|
|
# Wählen Sie Option 4
|
|
# Verwendet bereits vorhandene Apache2-Zertifikate
|
|
```
|
|
|
|
### 4. DNS-01 Challenge (für komplexe Setups)
|
|
```bash
|
|
./setup-ssl-dns.sh
|
|
# Für Cloudflare, Route53, etc.
|
|
```
|
|
|
|
## 📋 Voraussetzungen
|
|
|
|
### Für Apache2-Zertifikate:
|
|
- Apache2 installiert oder Zertifikate in Standard-Pfaden
|
|
- Unterstützte Pfade:
|
|
- `/etc/ssl/certs/ssl-cert-snakeoil.pem` (Ubuntu Standard)
|
|
- `/etc/letsencrypt/live/your-part.de/fullchain.pem` (Let's Encrypt)
|
|
- `/etc/apache2/ssl/apache.crt` (Custom Apache2)
|
|
|
|
### Für Let's Encrypt (HTTP-01 Challenge):
|
|
- Port 80 muss verfügbar sein
|
|
- Domain `your-part.de` muss auf den Server zeigen
|
|
- Kein anderer Service auf Port 80
|
|
|
|
### Für DNS-01 Challenge:
|
|
- DNS-Provider Account (Cloudflare, Route53, etc.)
|
|
- API-Credentials für DNS-Management
|
|
|
|
## 🔧 Konfiguration
|
|
|
|
Nach der Zertifikats-Erstellung:
|
|
|
|
1. **SSL in der Konfiguration aktivieren:**
|
|
```ini
|
|
# /etc/yourpart/daemon.conf
|
|
WEBSOCKET_SSL_ENABLED=true
|
|
WEBSOCKET_SSL_CERT_PATH=/etc/yourpart/server.crt
|
|
WEBSOCKET_SSL_KEY_PATH=/etc/yourpart/server.key
|
|
```
|
|
|
|
2. **Daemon neu starten:**
|
|
```bash
|
|
sudo systemctl restart yourpart-daemon
|
|
```
|
|
|
|
3. **Verbindung testen:**
|
|
```bash
|
|
# WebSocket Secure
|
|
wss://your-part.de:4551
|
|
|
|
# Oder ohne SSL
|
|
ws://your-part.de:4551
|
|
```
|
|
|
|
## 🔄 Automatische Erneuerung
|
|
|
|
### Let's Encrypt-Zertifikate:
|
|
- **Cron Job:** Täglich um 2:30 Uhr
|
|
- **Script:** `/etc/yourpart/renew-ssl.sh`
|
|
- **Log:** `/var/log/yourpart/ssl-renewal.log`
|
|
|
|
### Apache2-Zertifikate:
|
|
- **Ubuntu Snakeoil:** Automatisch von Apache2 verwaltet
|
|
- **Let's Encrypt:** Automatische Erneuerung wenn erkannt
|
|
- **Custom:** Manuelle Verwaltung erforderlich
|
|
|
|
## 📁 Dateistruktur
|
|
|
|
```
|
|
/etc/yourpart/
|
|
├── server.crt # Zertifikat (Symlink zu Let's Encrypt)
|
|
├── server.key # Private Key (Symlink zu Let's Encrypt)
|
|
├── renew-ssl.sh # Auto-Renewal Script
|
|
└── cloudflare.ini # Cloudflare Credentials (falls verwendet)
|
|
|
|
/etc/letsencrypt/live/your-part.de/
|
|
├── fullchain.pem # Vollständige Zertifikatskette
|
|
├── privkey.pem # Private Key
|
|
├── cert.pem # Zertifikat
|
|
└── chain.pem # Intermediate Certificate
|
|
```
|
|
|
|
## 🛠️ Troubleshooting
|
|
|
|
### Zertifikat wird nicht akzeptiert
|
|
```bash
|
|
# Prüfe Zertifikats-Gültigkeit
|
|
openssl x509 -in /etc/yourpart/server.crt -text -noout
|
|
|
|
# Prüfe Berechtigungen
|
|
ls -la /etc/yourpart/server.*
|
|
```
|
|
|
|
### Let's Encrypt Challenge fehlgeschlagen
|
|
```bash
|
|
# Prüfe Port 80
|
|
sudo netstat -tlnp | grep :80
|
|
|
|
# Prüfe DNS
|
|
nslookup your-part.de
|
|
|
|
# Prüfe Firewall
|
|
sudo ufw status
|
|
```
|
|
|
|
### Auto-Renewal funktioniert nicht
|
|
```bash
|
|
# Prüfe Cron Jobs
|
|
sudo crontab -l
|
|
|
|
# Teste Renewal Script
|
|
sudo /etc/yourpart/renew-ssl.sh
|
|
|
|
# Prüfe Logs
|
|
tail -f /var/log/yourpart/ssl-renewal.log
|
|
```
|
|
|
|
## 🔒 Sicherheit
|
|
|
|
### Berechtigungen
|
|
- **Zertifikat:** `644` (readable by all, writable by owner)
|
|
- **Private Key:** `600` (readable/writable by owner only)
|
|
- **Owner:** `yourpart:yourpart`
|
|
|
|
### Firewall
|
|
```bash
|
|
# Öffne Port 80 für Let's Encrypt Challenge
|
|
sudo ufw allow 80/tcp
|
|
|
|
# Öffne Port 4551 für WebSocket
|
|
sudo ufw allow 4551/tcp
|
|
```
|
|
|
|
## 📚 Weitere Informationen
|
|
|
|
- [Let's Encrypt Dokumentation](https://letsencrypt.org/docs/)
|
|
- [Certbot Dokumentation](https://certbot.eff.org/docs/)
|
|
- [libwebsockets SSL](https://libwebsockets.org/lws-api-doc-master/html/group__ssl.html)
|
|
|
|
## 🆘 Support
|
|
|
|
Bei Problemen:
|
|
1. Prüfen Sie die Logs: `sudo journalctl -u yourpart-daemon -f`
|
|
2. Testen Sie die Zertifikate: `openssl s_client -connect your-part.de:4551`
|
|
3. Prüfen Sie die Firewall: `sudo ufw status`
|