Ubuntu 14.04 Üzerinde Çoklu Apache Sanal Hostları İçin Let’s Encrypt Sertifikalarını Kurulumu

Ubuntu 14.04 Üzerinde Çoklu Apache Sanal Hostları İçin Let’s Encrypt Sertifikalarını Kurulumu

Giriş

İnternet dünyasında güvenlik, kullanıcı verilerinin korunması ve web sitelerinin güvenilirliğini sağlamak adına hayati bir öneme sahiptir. Bu bağlamda, HTTPS protokolü (Hypertext Transfer Protocol Secure) web siteleri ile kullanıcılar arasındaki iletişimi şifreleyerek hassas verilerin (kredi kartı bilgileri, şifreler vb.) üçüncü şahıslar tarafından ele geçirilmesini engeller. Geleneksel olarak, SSL/TLS sertifikaları almak ve yönetmek maliyetli ve karmaşık bir süreçti. Ancak Let’s Encrypt’in devreye girmesiyle bu durum tamamen değişti. Let’s Encrypt, ücretsiz, otomatik ve açık bir sertifika yetkilisi (CA) olup, milyonlarca web sitesinin HTTPS kullanmasını sağlayarak interneti daha güvenli bir hale getirdi.

Bu makalede, Ubuntu 14.04 işletim sistemi üzerinde çalışan bir Apache web sunucusunda birden fazla sanal host (virtual host) için Let’s Encrypt sertifikalarını nasıl kuracağınızı adım adım anlatacağız. Ubuntu 14.04, uzun süreli destek (LTS) sürümü olmasına rağmen, bu makalenin yazıldığı tarihte resmi desteği sona ermiştir. Ancak hala belirli ortamlarda kullanılmaya devam edebilir. Bu nedenle, bu eski sürüm için özel kurulum adımlarını detaylandıracağız. Certbot istemcisini kullanarak sertifikaları nasıl alacağınızı, Apache yapılandırmanızı nasıl güncelleyeceğinizi ve sertifikalarınızın otomatik olarak nasıl yenileneceğini öğreneceksiniz.

Ön Gereksinimler

Let’s Encrypt sertifikalarını başarıyla kurmak için aşağıdaki ön gereksinimlerin karşılandığından emin olmalısınız:

1. Ubuntu 14.04 Sunucusu: SSH erişimi olan ve root ayrıcalıklarına sahip veya sudo yetkisi olan bir kullanıcıya sahip bir Ubuntu 14.04 sunucusu.
2. Apache2 Web Sunucusu: Apache2’nin sunucunuzda kurulu ve çalışır durumda olması gerekmektedir. Eğer kurulu değilse, aşağıdaki komutlarla kurabilirsiniz:

sudo apt-get update
    sudo apt-get install apache2
    sudo service apache2 start

3. Alan Adları (Domain Names): Sertifika almak istediğiniz her bir sanal host için geçerli, kayıtlı alan adlarına sahip olmalısınız. Bu alan adlarının DNS kayıtları (A/AAAA kayıtları), sunucunuzun genel IP adresini göstermelidir. Örneğin, example.com ve www.example.com gibi alan adları için sertifika alacaksanız, bu alan adlarının sunucunuzun IP adresine yönlendirilmiş olması gerekir.
4. Apache Sanal Host Yapılandırmaları: Her bir alan adı için Apache sanal host yapılandırmalarınızın doğru bir şekilde ayarlanmış olması şarttır. Certbot, sertifika alırken bu yapılandırma dosyalarını okur. Özellikle ServerName ve ServerAlias direktifleri doğru bir şekilde tanımlanmalıdır.
* Örnek bir sanal host yapılandırması (/etc/apache2/sites-available/example.com.conf):

            ServerAdmin webmaster@example.com
            ServerName example.com
            ServerAlias www.example.com
            DocumentRoot /var/www/example.com/public_html
            ErrorLog ${APACHE_LOG_DIR}/error.log
            CustomLog ${APACHE_LOG_DIR}/access.log combined
        

* Bu yapılandırmaların etkinleştirildiğinden emin olun:

sudo a2ensite example.com.conf
        sudo service apache2 reload

5. Güvenlik Duvarı Ayarları: Sunucunuzda bir güvenlik duvarı (örn. UFW) etkinse, HTTP (80) ve HTTPS (443) portlarının dışarıdan erişime açık olduğundan emin olun. Certbot, sertifika doğrulama için 80 numaralı portu kullanır ve web siteniz HTTPS üzerinden erişilebilir olmak için 443 numaralı portu kullanır.
* UFW için örnek komutlar:

sudo ufw allow 'Apache Full' # Bu kural hem 80 hem de 443 portlarını açar
        sudo ufw enable

6. Sistem Güncellemeleri: En iyi uygulama olarak, başlamadan önce sistem paketlerinizi güncelleyin:

sudo apt-get update
    sudo apt-get upgrade

Certbot Kurulumu

Let’s Encrypt sertifikalarını yönetmek için Certbot adında bir istemci kullanacağız. Ubuntu 14.04’ün varsayılan depolarında Certbot’un en güncel sürümü bulunmayabilir. Bu nedenle, Certbot’un resmi PPA’sını (Personal Package Archive) eklememiz gerekmektedir.

1. Gerekli Paketleri Kurma:
Öncelikle, PPA eklemek için gerekli olan software-properties-common paketini kurun:

sudo apt-get install software-properties-common

2. Certbot PPA’sını Ekleme:
Şimdi Certbot’un PPA’sını sisteminize ekleyin:

sudo add-apt-repository ppa:certbot/certbot

Bu komutu çalıştırdıktan sonra bir onay mesajı görebilirsiniz, devam etmek için Enter tuşuna basın.

3. Paket Listesini Güncelleme:
Yeni PPA’yı ekledikten sonra, sisteminizin paket listesini güncellemeniz gerekir:

sudo apt-get update

4. Certbot’u Kurma:
Son olarak, Apache için Certbot eklentisini kurun. Bu paket, Certbot’un Apache yapılandırmasını otomatik olarak yönetmesini sağlar:

sudo apt-get install python-certbot-apache

Bu komut, Certbot ana paketini ve Apache entegrasyonu için gerekli Python modüllerini kuracaktır.

Kurulum tamamlandıktan sonra, Certbot komutunu certbot olarak kullanabilirsiniz.

Apache Sanal Host Yapılandırmalarının Kontrolü

Certbot’un sertifikaları doğru alan adları için alabilmesi ve Apache yapılandırmasını güncelleyebilmesi için, sanal host yapılandırma dosyalarınızın düzgün olduğundan emin olmanız önemlidir. Certbot, sertifika alırken ServerName ve ServerAlias direktiflerini kullanarak hangi alan adları için sertifika isteyeceğini belirler.

Her bir sanal host için ayrı bir yapılandırma dosyası oluşturmanız ve bunları /etc/apache2/sites-available/ dizininde saklamanız önerilir.

Örnek Sanal Host Yapılandırmaları:

1. Sanal Host (domain1.com için):
/etc/apache2/sites-available/domain1.com.conf dosyası:

    ServerAdmin webmaster@domain1.com
    ServerName domain1.com
    ServerAlias www.domain1.com
    DocumentRoot /var/www/domain1.com/public_html
    ErrorLog ${APACHE_LOG_DIR}/domain1_error.log
    CustomLog ${APACHE_LOG_DIR}/domain1_access.log combined

2. Sanal Host (domain2.net için):
/etc/apache2/sites-available/domain2.net.conf dosyası:

    ServerAdmin webmaster@domain2.net
    ServerName domain2.net
    ServerAlias www.domain2.net
    DocumentRoot /var/www/domain2.net/public_html
    ErrorLog ${APACHE_LOG_DIR}/domain2_error.log
    CustomLog ${APACHE_LOG_DIR}/domain2_access.log combined

Yapılandırmaları Etkinleştirme ve Test Etme:

1. Sanal Hostları Etkinleştirme:
Her bir yapılandırma dosyasını etkinleştirmek için a2ensite komutunu kullanın:

sudo a2ensite domain1.com.conf
    sudo a2ensite domain2.net.conf

2. Apache Yapılandırmasını Test Etme:
Değişiklikleri uygulamadan önce Apache yapılandırmanızda herhangi bir sözdizimi hatası olup olmadığını kontrol etmek önemlidir:

sudo apache2ctl configtest

Eğer Syntax OK çıktısını alırsanız, yapılandırmanızda bir hata yok demektir. Aksi takdirde, hata mesajlarını inceleyerek sorunları düzeltin.

3. Apache’yi Yeniden Yükleme:
Yapılandırma değişikliklerinin etkili olması için Apache hizmetini yeniden yükleyin:

sudo service apache2 reload

Bu adımları tamamladıktan sonra, web sitelerinizin HTTP (port 80) üzerinden erişilebilir olduğundan emin olun.

Let’s Encrypt Sertifikalarını Alma

Certbot istemcisini kurup Apache yapılandırmalarınızı kontrol ettikten sonra, artık Let’s Encrypt sertifikalarını alabiliriz. Certbot, Apache eklentisi sayesinde bu süreci büyük ölçüde otomatikleştirir.

Birden Fazla Sanal Host İçin Tek Komutla Sertifika Alma:

Eğer birden fazla alan adı için aynı anda sertifika almak ve bunları tek bir komutla yönetmek istiyorsanız, tüm alan adlarını -d parametresiyle belirtebilirsiniz. Certbot, belirtilen her bir alan adı için ayrı ayrı doğrulama yapacak ve tek bir sertifika seti (birincil alan adı altında) oluşturacaktır.

sudo certbot --apache -d domain1.com -d www.domain1.com -d domain2.net -d www.domain2.net

Bu komut:
* --apache: Certbot’a Apache eklentisini kullanmasını söyler. Bu eklenti, sertifika alma ve Apache yapılandırmasını otomatik olarak güncelleme yeteneğine sahiptir.
* -d: Sertifika almak istediğiniz her bir alan adını belirtir. www önekli versiyonları da eklemeyi unutmayın, çünkü kullanıcılar genellikle her iki versiyonu da kullanabilir.

Komutu çalıştırdıktan sonra, Certbot sizden bazı bilgiler isteyecektir:

1. E-posta Adresi: Let’s Encrypt, sertifikalarınızın süresi dolmak üzereyken veya önemli duyurular için sizinle iletişime geçmek amacıyla bir e-posta adresi ister. Geçerli bir e-posta adresi girin.
2. Hizmet Şartlarını Kabul Etme: Let’s Encrypt’in hizmet şartlarını okuyup kabul etmeniz gerekecektir.
3. Yönlendirme (Redirection) Seçeneği: Certbot, HTTP trafiğini otomatik olarak HTTPS’ye yönlendirmek isteyip istemediğinizi soracaktır.
* 1: No redirect: HTTP ve HTTPS erişimine izin verir.
* 2: Redirect: Tüm HTTP isteklerini HTTPS’ye yönlendirir. Bu, genellikle önerilen seçenektir, çünkü sitenizin her zaman güvenli bağlantı üzerinden erişilmesini sağlar.
Seçiminizi yapıp Enter tuşuna basın.

Certbot, bu bilgileri aldıktan sonra, belirttiğiniz alan adları için doğrulama sürecini başlatır. Doğrulama başarılı olursa, sertifikaları indirir ve Apache yapılandırma dosyalarınızı otomatik olarak güncelleyerek SSL’yi etkinleştirir.

Etkileşimli Modda Sertifika Alma:

Eğer hangi alan adları için sertifika alacağınızdan emin değilseniz veya Certbot’un algıladığı alan adları arasından seçim yapmak isterseniz, aşağıdaki komutu kullanabilirsiniz:

sudo certbot --apache

Bu komut, Certbot’un Apache yapılandırmanızda algıladığı tüm alan adlarını listeleyecektir. Size bir numara listesi sunulacak ve hangi alan adları için sertifika almak istediğinizi seçmeniz istenecektir (virgülle ayrılmış sayılar veya all seçeneğiyle). Sonrasında yukarıdaki gibi e-posta ve yönlendirme seçenekleri sorulacaktır.

Başarılı Kurulum Sonrası:

Kurulum başarılı olduğunda, Certbot size sertifikalarınızın nerede saklandığı, ne zaman sona ereceği ve otomatik yenileme sürecinin nasıl çalıştığı hakkında bilgi veren bir mesaj gösterecektir. Ayrıca, web sitenizin artık HTTPS üzerinden erişilebilir olduğunu doğrulayacaktır.

Örnek başarı mesajı çıktısı:

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/domain1.com/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/domain1.com/privkey.pem
   Your cert will expire on 2024-07-25. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew all of your certificates, run
   "certbot renew"
 - If you like Certbot, please consider supporting our work:
   https://certbot.eff.org/docs/supporting.html

Bu mesaj, sertifikalarınızın /etc/letsencrypt/live/domain1.com/ dizininde saklandığını gösterir. domain1.com burada, sertifika setinin birincil alan adıdır. Tüm diğer alan adları (www.domain1.com, domain2.net, www.domain2.net) bu sertifika altında toplanmıştır.

Sertifika Yenileme

Let’s Encrypt sertifikaları 90 gün boyunca geçerlidir. Bu kısa geçerlilik süresi, güvenlik ve otomasyonu teşvik etmek için bilinçli bir seçimdir. Certbot, bu sertifikaların otomatik olarak yenilenmesini sağlayacak şekilde tasarlanmıştır.

Otomatik Yenileme:

Certbot’u kurduğunuzda, sisteminize otomatik olarak bir cron işi veya systemd zamanlayıcı (Ubuntu 14.04’te cron işi) eklenir. Bu iş, sertifikalarınızın süresi dolmadan önce otomatik olarak yenilenmesini sağlar. Genellikle bu iş, sertifikaların süresi dolmasına 30 gün kala kontrol yapar ve yenileme işlemini gerçekleştirir.

Ubuntu 14.04’te cron işini kontrol etmek için /etc/cron.d/certbot dosyasını inceleyebilirsiniz:

sudo cat /etc/cron.d/certbot

Bu dosyanın içeriği genellikle şöyle bir şey olacaktır:

# /etc/cron.d/certbot: crontab entries for the certbot package
# Upstream recommends trying to renew twice a day
# Every six hours, run certbot renew
0 /12    root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew

Bu çıktı, Certbot’un her 12 saatte bir yenileme denemesi yaptığını gösterir. -q (quiet) bayrağı sayesinde, sadece bir hata oluşursa veya yenileme gerekiyorsa çıktı verir.

Yenilemeyi Test Etme:

Sertifika yenileme işleminin düzgün çalıştığından emin olmak için bir “deneme sürüşü” yapabilirsiniz:

sudo certbot renew --dry-run

Bu komut, gerçek bir yenileme işlemi yapmadan tüm süreci simüle eder. Eğer herhangi bir hata almazsanız, otomatik yenileme mekanizmanızın düzgün çalıştığını varsayabilirsiniz.

Manuel Yenileme:

Eğer herhangi bir nedenle manuel olarak yenileme yapmak isterseniz, aşağıdaki komutu kullanabilirsiniz:

sudo certbot renew

Bu komut, süresi dolmak üzere olan veya zaten süresi dolmuş tüm sertifikaları yenilemeye çalışacaktır. Eğer bir sertifikanın süresinin dolmasına henüz çok varsa, Certbot onu atlayacaktır.

Önemli Not: Yenileme işlemi sırasında Apache’nin yeniden başlatılması gerekebilir. Certbot’un Apache eklentisi bu işlemi otomatik olarak yönetir.

Apache Yapılandırmasının İncelenmesi

Certbot, sertifikaları aldıktan sonra Apache yapılandırmanızı otomatik olarak günceller. Bu değişiklikleri incelemek, neler olup bittiğini anlamak açısından faydalıdır.

Certbot, her bir sanal host için orijinal HTTP yapılandırma dosyanızın yanına, SSL etkinleştirilmiş yeni bir yapılandırma dosyası oluşturur. Bu dosyalar genellikle /etc/apache2/sites-available/ dizininde [your-domain]-le-ssl.conf şeklinde isimlendirilir.

Örnek Bir SSL Yapılandırma Dosyası:
/etc/apache2/sites-available/domain1.com-le-ssl.conf dosyası şöyle görünecektir:

    ServerAdmin webmaster@domain1.com
    ServerName domain1.com
    ServerAlias www.domain1.com
    DocumentRoot /var/www/domain1.com/public_html
    ErrorLog ${APACHE_LOG_DIR}/domain1_error.log
    CustomLog ${APACHE_LOG_DIR}/domain1_access.log combined

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/domain1.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/domain1.com/privkey.pem
    Include /etc/letsencrypt/options-ssl-apache.conf

Bu dosyada dikkat etmeniz gereken noktalar:

:443>: Bu blok, HTTPS (port 443) üzerinden gelen istekleri dinler.
* SSLEngine on: Bu direktif, SSL modülünü bu sanal host için etkinleştirir.
* SSLCertificateFile: Bu direktif, Let’s Encrypt tarafından sağlanan genel sertifika dosyasının yolunu belirtir (fullchain.pem, hem sunucu sertifikasını hem de ara sertifikaları içerir).
* SSLCertificateKeyFile: Bu direktif, sertifikayla eşleşen özel anahtar dosyasının yolunu belirtir.
* Include /etc/letsencrypt/options-ssl-apache.conf: Certbot, SSL/TLS güvenliğini optimize etmek için önerilen ayarları içeren bu dosyayı otomatik olarak ekler. Bu dosya, güçlü şifreleme algoritmalarını, TLSv1.2/1.3 kullanımını ve diğer güvenlik ayarlarını içerir.

sudo a2enmod ssl
sudo service apache2 reload

    ServerName domain1.com
    ServerAlias www.domain1.com
    # ... diğer ayarlar ...
    Redirect permanent / https://domain1.com/

dig domain1.com