Jak zainstalować certyfikat SSL na serwerze Unraid

Potrzebne pliki

fullchain.pem i privkey.pem. Na serwerze połączysz je w jeden plik. Certyfikat wygeneruj dla adresu nazwaserwera.twojadomena.pl (np. tower.twojadomena.pl) albo z gwiazdką dla *.twojadomena.pl.

Wgrywaj certyfikat z trybu produkcyjnego. Certyfikat z trybu testowego służy tylko do sprawdzenia procesu: przeglądarki mu nie ufają, a część paneli w ogóle go nie przyjmie.

Zanim zaczniesz

• Unraid sam potrafi pobrać darmowy certyfikat Let's Encrypt przyciskiem „Provision” w „Settings” → „Management Access” i odnawia go automatycznie. Taki certyfikat działa jednak tylko pod długim adresem w domenie myunraid.net (np. https://192-168-100-1.a1b2c3d4e5.myunraid.net). Nasz generator przydaje się, gdy chcesz otwierać serwer pod adresem we własnej domenie. Domenę potwierdź wtedy rekordem DNS: serwer nie musi być widoczny z internetu, a certyfikat z gwiazdką pasuje do każdej nazwy serwera.
• Unraid przyjmie tylko certyfikat dla adresu nazwaserwera.twojadomena.pl albo *.twojadomena.pl, gdzie twojadomena.pl to dokładnie to, co wpiszesz w polu „Local TLD”. Inny certyfikat Unraid usuwa i wraca do własnego certyfikatu, przy którym przeglądarka pokazuje ostrzeżenie. Nazwę serwera sprawdzisz w „Settings” → „Identification”, w polu „Server name”.
• Adres (np. tower.twojadomena.pl) musi prowadzić do serwera. Najprościej dodać w strefie DNS domeny rekord A z adresem IP serwera w sieci lokalnej (np. 192.168.1.20) albo ustawić taki wpis w routerze.

Krok po kroku

1. Otwórz „Settings” → „Management Access”. W polu „Local TLD” wpisz swoją domenę (np. twojadomena.pl), w polu „Use SSL/TLS” wybierz „Yes” i kliknij „Apply”. Przeglądarka może teraz pokazać ostrzeżenie o certyfikacie. To jeszcze certyfikat Unraid, więc przejdź dalej.
2. Otwórz menedżer plików w folderze z certyfikatami: w pasku adresu przeglądarki dopisz do adresu panelu /Main/Browse?dir=/boot/config/ssl/certs, np. https://192.168.1.20/Main/Browse?dir=/boot/config/ssl/certs.
3. Kliknij „Upload” pod listą plików i wskaż plik fullchain.pem. Tak samo wgraj privkey.pem.
4. Otwórz terminal: w prawym górnym rogu panelu wybierz „>_”. Wklej poniższe polecenia i naciśnij Enter:

   cd /boot/config/ssl/certs
   cat fullchain.pem privkey.pem > "$(hostname)_unraid_bundle.pem"
   rm fullchain.pem privkey.pem
   /etc/rc.d/rc.nginx reload

   Polecenia łączą oba pliki w jeden o nazwie, której oczekuje Unraid, usuwają osobne kopie i przeładowują serwer WWW Unraid. Zamiast ostatniego polecenia możesz też uruchomić serwer ponownie.
5. Otwórz panel pod adresem https://nazwaserwera.twojadomena.pl (np. https://tower.twojadomena.pl). W „Settings” → „Management Access” przy „Certificate issuer” powinien być widoczny Let's Encrypt, a „Certificate expiration” pokaże nową datę ważności.

Sprawdzenie

Otwórz swoją stronę przez https:// i kliknij kłódkę (albo ikonę ustawień) obok adresu. Szczegóły certyfikatu powinny pokazać wystawcę Let's Encrypt i datę ważności zgodną z panelem. Jeśli przeglądarka nadal pokazuje stary certyfikat, odczekaj kilka minut i odśwież stronę.

Jeśli zamiast strony widzisz ostrzeżenie, kod błędu wyjaśniamy na stronie „Połączenie nie jest prywatne”. Jeśli strona otwiera się przez https, ale wygląda źle albo coś nie działa, zobacz mieszana zawartość. Na koniec włącz przekierowanie z http na https, żeby wszyscy trafiali na bezpieczną wersję.

Dobrze wiedzieć

• Jeśli przeglądarka nadal pokazuje ostrzeżenie, a przy „Certificate issuer” nie ma Let's Encrypt, Unraid usunął certyfikat, bo nie pasował do nazwy serwera i pola „Local TLD”. Wygeneruj certyfikat dla właściwego adresu i powtórz kroki od 2 do 4.
• Gdy zmienisz nazwę serwera albo „Local TLD”, Unraid utworzy nowy własny certyfikat w miejsce Twojego. Wgraj wtedy certyfikat jeszcze raz.
• Plik certyfikatu zawiera klucz prywatny. Jeśli nośnik startowy jest udostępniony w sieci, Unraid zaleca dostęp tylko dla zaufanych użytkowników albo wyłączenie udostępniania.
• Certyfikatu wgranego z pliku Unraid nie odnawia sam. Przy odnowieniu wgrywasz nowy (niżej).

Przy odnowieniu

Powtórz kroki od 2 do 4: wgraj nowe fullchain.pem i privkey.pem do /boot/config/ssl/certs i wklej w terminalu te same polecenia. Nowy plik zastąpi stary.

Panele hostingów co jakiś czas się zmieniają. Jeśli coś wygląda inaczej niż w opisie, napisz na kontakt@freessl.pl, a poprawimy instrukcję.