Jak zainstalować certyfikat SSL na NAS OpenMediaVault
W skrócie
W OpenMediaVault zaimportuj certyfikat w „System” → „Certificates” → „SSL”: privkey.pem w pole „Private key”, fullchain.pem w „Certificate”. Potem w „Workbench” → „Settings” zaznacz „SSL/TLS enabled”, wybierz certyfikat, zapisz i zastosuj zmiany.
Dla serwera NAS z OpenMediaVault 8. W wersji 7 różni się tylko jedno miejsce w menu (krok 4). Certyfikat zadziała, gdy otwierasz panel pod adresem ze swojej domeny (np. nas.twojadomena.pl), a ta nazwa prowadzi do adresu NAS-a. Przy wejściu przez adres IP przeglądarka nadal pokaże ostrzeżenie. Nazwy podajemy z angielskiej wersji panelu, a w nawiasie z polskiej.
Potrzebne pliki
privkey.pem i fullchain.pem. Ich zawartość wklejasz w formularz. OpenMediaVault przyjmuje klucze RSA i ECDSA (w panelu nazwane ECC), więc rodzaj klucza w generatorze możesz zostawić bez zmian.
Wgrywaj certyfikat z trybu produkcyjnego. Certyfikat z trybu testowego służy tylko do sprawdzenia procesu: przeglądarki mu nie ufają, a część paneli w ogóle go nie przyjmie.
Zanim zaczniesz
- Dokumentacja OpenMediaVault nie opisuje samodzielnego pobierania certyfikatów Let's Encrypt, tylko import gotowych plików. Certyfikat wgrywasz więc ręcznie i ręcznie go odnawiasz.
- Domenę najprościej potwierdzić rekordem DNS (w generatorze metoda „Rekord DNS”). NAS nie musi wtedy być widoczny z internetu i nie otwierasz żadnego portu na routerze.
Krok po kroku
- Zaloguj się do panelu OpenMediaVault i otwórz „System” → „Certificates” („Certyfikaty”) → „SSL”.
- Kliknij przycisk dodawania (podpowiedź „Create | Import”) i wybierz „Import”.
- Wklej zawartość plików w pola (niżej, co gdzie). W polu „Tags” („Tagi”) wpisz krótką nazwę, np. nazwę domeny. Kliknij „Import”.
- Otwórz „System” → „Workbench” („Warsztat”) → „Settings” („Konfiguracja”). W wersji 7 ustawienia są od razu pod „System” → „Workbench”.
- W części „Secure connection” („Bezpieczne połączenie”) zaznacz „SSL/TLS enabled” („SSL/TLS włączony”). W polu „Certificate” („Certyfikat”) wybierz zaimportowany certyfikat, port zostaw 443. Kliknij „Save” („Zapisz”).
- Na górze strony pojawi się pasek „Pending configuration changes”. Kliknij w nim przycisk „Apply” („Zastosuj”) i potwierdź. Panel uruchomi się ponownie i przez chwilę może pokazywać błędy. Według dokumentacji można je zignorować.
- Otwórz panel pod adresem https://nas.twojadomena.pl i sprawdź kłódkę w przeglądarce. Gdy wszystko działa, możesz w tych samych ustawieniach zaznaczyć „Force SSL/TLS” („Wymuś SSL/TLS”), żeby panel działał tylko przez https.
Co wkleić w które pole
- Private key (Klucz prywatny): cała zawartość pliku privkey.pem
- Certificate (Certyfikat): cała zawartość pliku fullchain.pem. Według dokumentacji OpenMediaVault przyjmuje ten plik bez przerabiania.
- Tags (Tagi): dowolna krótka nazwa, np. nazwa domeny. To pole jest wymagane.
Jak skopiować zawartość pliku
- Windows: kliknij plik prawym przyciskiem myszy, wybierz „Otwórz za pomocą”, a potem „Notatnik”. Mac: kliknij plik z klawiszem Control, wybierz „Otwórz za pomocą”, a potem „TextEdit”.
- Zaznacz całą treść (Ctrl+A, na Macu Cmd+A) i skopiuj ją (Ctrl+C, na Macu Cmd+C).
- W panelu kliknij w pole i wklej (Ctrl+V, na Macu Cmd+V). Wklej całość razem z liniami BEGIN i END i niczego nie zmieniaj.
Sprawdzenie
Otwórz swoją stronę przez https:// i kliknij kłódkę (albo ikonę ustawień) obok adresu. Szczegóły certyfikatu powinny pokazać wystawcę Let's Encrypt i datę ważności zgodną z panelem. Jeśli przeglądarka nadal pokazuje stary certyfikat, odczekaj kilka minut i odśwież stronę.
Jeśli zamiast strony widzisz ostrzeżenie, kod błędu wyjaśniamy na stronie „Połączenie nie jest prywatne”. Jeśli strona otwiera się przez https, ale wygląda źle albo coś nie działa, zobacz mieszana zawartość. Na koniec włącz przekierowanie z http na https, żeby wszyscy trafiali na bezpieczną wersję.
Dobrze wiedzieć
- OpenMediaVault sprawdza, czy klucz pasuje do certyfikatu. Pliki z dwóch różnych zamówień zostaną odrzucone.
- Ten sam certyfikat możesz wybrać w ustawieniach serwera FTP, jeśli z niego korzystasz.
- Certyfikatu wybranego w ustawieniach nie da się usunąć. Najpierw wybierz inny, potem usuń stary.
Przy odnowieniu
Istniejącego certyfikatu nie da się edytować, więc importujesz nowy: kroki od 1 do 3, z nową nazwą w „Tags”. Potem w „Workbench” → „Settings” wybierz nowy certyfikat w polu „Certificate”, kliknij „Save” i zastosuj zmiany („Apply”). Na koniec w „System” → „Certificates” → „SSL” zaznacz stary certyfikat i usuń go. OpenMediaVault nie odnowi certyfikatu sam, więc pilnuj daty (przypomnimy e-mailem).
Panele hostingów co jakiś czas się zmieniają. Jeśli coś wygląda inaczej niż w opisie, napisz na kontakt@freessl.pl, a poprawimy instrukcję.