Как подключить SSL Letsencrypt к субдоменам?

Question

[account-4]

Есть работающий сайт с SSL сертификатами для example.com и www.example.com.

Как теперь подключить SSL к дополнительным субдоменам? Потому что сейчас браузер выбивает ошибау безопасности и не пускает по субдоменам без сертификата.

Я сгенерировал дополнительные сертификаты командой

sudo letsencrypt certonly -a webroot --webroot-path=/home/ubuntu/again/222/static -d new.example.com

Что делать дальше? Как это впихнуть в конфиг nginx?

Answer 1

[DiverUA]

В секции Server, описывающей субдомен, указать
listen 443 ssl;
и прописать пути к сертификатам

ssl_certificate /path/to/chain.pem;
ssl_certificate_key /path/to/privatekey.pem

Nginx поддерживает SNI, все будет работать.

Comments

[account-4]

Естественно у меня это уже прописано, я же говорю - сайт уже работает с SSL. Как ДОБАВИТЬ субдомены?

[account-4]

listen 443 ssl http2 default_server;
listen [::]:443 ssl http2 default_server;
include snippets/ssl-example.com.conf;
include snippets/ssl-params.conf;

Ну и в ssl-example.com.conf:
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

[account-4]

И что, для субдомена отдельно надо секцию прописывать? А если у меня их миллион?

[DiverUA]

Имя должно присутствовать в "common name" секции сертификата.

Сгенерируйте один сертификат на миллион доменов с поддоменами и подключите его к nginx (для удобства можно воспользоваться dehydrated - неплохой клиент для letsencrypt)

Либо воспользуйтесь коммерческим сертификатом, в качестве имени укажите два элемента: example.com и *.example.com

[account-4]

> Имя должно присутствовать в "common name" секции сертификата.
Не понятно как это проверить и где это найти?

У меня получается было так. Сначала я сделал это для example.com www.example.com

sudo letsencrypt certonly -a webroot --webroot-path=/home/ubuntu/again/222/static -d example.com -d www.example.com

Сейчас я решил добавить new.example.com:

sudo letsencrypt certonly -a webroot --webroot-path=/home/ubuntu/again/222/static -d new.example.com

Это не правильно? Надо делать все за один раз, или это не имеет значения?

[account-4]

Спс, дейсвтительно надо было одной командой перегенерировать сертификаты заново. Отдельное спасибо за dehydrated

[account-4]

DiverUA: а автоматически сделать так, чтобы сертификат домена применялся к сабдоменам невозможно у Letsencrypt?

[ky0]

DiverUA:
> Сгенерируйте один сертификат на миллион доменов с поддоменами и подключите его к nginx
Максимум сто - https://letsencrypt.org/docs/rate-limits/

account-4:
> а автоматически сделать так, чтобы сертификат домена применялся к сабдоменам невозможно у Letsencrypt?
Это невозможно не только у LE, но и других УЦ, если сертификат не wildcard.

[account-4]

ky0: благодарю, понятно.