世界に公開

2021/3/16,2021/07/07

webサーバ([nginx]http)

#!/bin/bash
#管理者権限で実行 nginxをインストール
apt install -y nginx ufw certbot
systemctl restart nginx;systemctl status nginx;

#firewallを設定
# sshは30秒に6回以上の接続があるとき、攻撃を受けたとみなして接続を不許可にする
# http,httpsを許可
ufw enable;ufw default deny
ufw limit 22;ufw allow 80;ufw allow 443
#ufw delete allow 443; #間違ったルールを削除する
ufw status;#ルールを確認

#!/bin/bash
#管理者権限で実行 /var/www/html/index.htmlをつくる
wget -O /var/www/html/index.html http://www.maibun.org/~nt/technicalnote/raspberryPiOS/Misskey/sample.html

SSL証明書はどこにお願いするか?

1. Let's Encryptさん (https://letsencrypt.org/)で証明書を手配
   無料だが、証明書の有効期限が90日、再発行可能(自動更新の方法もあるらしい)
   「再発行分からお代をいただきます」というサービスもあるだろうが、ここは無料
   
   
2. 「インストール方法詳細」に従い、CloudFlareさん(https://www.cloudflare.com/ja-jp/)で証明書を手配
   「インストール方法詳細」によるとCloudflareがDNS,リバースプロキシ,CDN(contents delivery network)を提供してくれるとあるが、DNSは自ドメインを取得する際に設定しているし、CDNをお願いするほどトラフィックは輻輳しないと想定している。(そのような高トラフィック環境ならRaspberryPiは使わないだろう?)
   Cloudflareでいろいろお願いする手順(登録項目)などを事前に知りたいが、そのような情報は見つからなかった。 CloudFlareさんにユーザとして登録したが、
   現在の使用しているレジストラにログインして、「DNSを書き換えろ」と言ってくる。登録しているDNS(レジストラのDNSを優先的に使用)を修正して、「CloudFlareのDNSを最優先にしろ」だそうだ。
   今動いているものは、触りたくないので保留している。
   Misskey的にはCloudFlareありでもなしでもhttps://が使えれば文句はないのだろう?
   
   
3. 高くてもお付き合いのあるレジストラで証明書を手配
   　選択肢はあるが
   
   • GlobalSign社のドメイン証明書は魅力だが、そこまでコストをかけるサービスだろうか?
   • AlphaSSL社の証明書は低価格だが、レンタルサーバ限定であり外部サーバで使用できない。
   • shop SSL社は1年目無料、2年目から有料。.shopドメイン限定。ドメインを取り直せば使えるが、shopではないだろう?

証明書を入手

#管理者権限で実行
certbot certonly --webroot -w /var/www/html -d misskey.mydomain.org

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Plugins selected: Authenticator webroot, Installer None
Enter email address (used for urgent renewal and security notices) (Enter 'c' to
cancel): ----メールアドレスを入力 xxxxxxxx@gmail.com

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please read the Terms of Service at
https://letsencrypt.org/documents/LE-SA-v1.2-November-15-2017.pdf. You must
agree in order to register with the ACME server at
https://acme-v02.api.letsencrypt.org/directory
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(A)gree/(C)ancel: A  ---- Aを入力

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Would you be willing to share your email address with the Electronic Frontier
Foundation, a founding partner of the Let's Encrypt project and the non-profit
organization that develops Certbot? We'd like to send you email about our work
encrypting the web, EFF news, campaigns, and ways to support digital freedom.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
(Y)es/(N)o: N　----　Y,Nどちらでもいい。
Obtaining a new certificate
Performing the following challenges:
http-01 challenge for misskey.mydomain.org
Using the webroot path /var/www/html for all unmatched domains.
Waiting for verification...
Cleaning up challenges

IMPORTANT NOTES:
 - Congratulations! Your certificate and chain have been saved at:
   /etc/letsencrypt/live/misskey.mydomain.org/fullchain.pem
   Your key file has been saved at:
   /etc/letsencrypt/live/misskey.mydomain.org/privkey.pem
   Your cert will expire on 2021-06-16. To obtain a new or tweaked
   version of this certificate in the future, simply run certbot
   again. To non-interactively renew *all* of your certificates, run
   "certbot renew"
 - Your account credentials have been saved in your Certbot
   configuration directory at /etc/letsencrypt. You should make a
   secure backup of this folder now. This configuration directory will
   also contain certificates and private keys obtained by Certbot so
   making regular backups of this folder is ideal.
 - If you like Certbot, please consider supporting our work by:

   Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate
   Donating to EFF:                    https://eff.org/donate-le

#管理者権限で実行
tree /etc/letsencrypt/

/etc/letsencrypt/
├── accounts
│   └── acme-v02.api.letsencrypt.org
│       └── directory
│           └── 0123456789abcdefghijklmnopqrstuv
│               ├── meta.json
│               ├── private_key.json
│               └── regr.json
├── archive
│   └── misskey.mydomain.org
│       ├── cert1.pem
│       ├── chain1.pem
│       ├── fullchain1.pem
│       └── privkey1.pem
├── cli.ini
├── csr
│   └── 0000_csr-certbot.pem
├── keys
│   └── 0000_key-certbot.pem
├── live
│   ├── README
│   └── misskey.mydomain.org
│       ├── README
│       ├── cert.pem -> ../../archive/misskey.mydomain.org/cert1.pem
│       ├── chain.pem -> ../../archive/misskey.mydomain.org/chain1.pem
│       ├── fullchain.pem -> ../../archive/misskey.mydomain.org/fullchain1.pem
│       └── privkey.pem -> ../../archive/misskey.mydomain.org/privkey1.pem
├── renewal
│   └── misskey.mydomain.org.conf
└── renewal-hooks
    ├── deploy
    ├── post
    └── pre

webサーバ([nginx]https)

#管理者権限で実行
#SSL証明書とプライベートキーを探す　フルパス名を確認
find /etc -name fullchain.pem;find /etc -name privkey.pem
#misskey.confをコピー
cp /home/misskey/misskey/docs/examples/misskey.nginx /etc/nginx/conf.d/misskey.conf
#テキストエディタvi,emacs,nano等で編集--管理者はgeditが使えない
vi /etc/nginx/conf.d/misskey.conf

server {
    listen 80;
    listen [::]:80;
    server_name example.tld;　　[このserver_nameを書き換える]

server {
    listen 80;
    listen [::]:80;
    server_name misskey.mydomain.org;

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.tld;　　[このserver_nameを書き換える]
    ssl_session_cache shared:ssl_session_cache:10m;

    # To use Let's Encrypt certificate　　[この2行を書き換える]
    ssl_certificate     /etc/letsencrypt/live/example.tld/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.tld/privkey.pem;

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name misskey.mydomain.org;
    ssl_session_cache shared:ssl_session_cache:10m;

    # To use Let's Encrypt certificate
    ssl_certificate     /etc/letsencrypt/live/misskey.mydomain.org/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/misskey.mydomain.org/privkey.pem;

#管理者で実行
#nginx *.confファイルの記述を確認
nginx -t

#ユーザmisskeyで実行
cd ~/misskey/
NODE_ENV=production npm start

Misskeyデーモンをつくる

#管理者で実行
touch /etc/systemd/system/misskey.service
chmod 777 /etc/systemd/system/misskey.service
cat >> EOF < /etc/systemd/system/misskey.service
[Unit]
Description=Misskey daemon

[Service]
Type=simple
User=misskey
ExecStart=/usr/bin/npm start
WorkingDirectory=/home/misskey/misskey
Environment="NODE_ENV=production"
TimeoutSec=60
StandardOutput=syslog
StandardError=syslog
SyslogIdentifier=misskey
Restart=always

[Install]
WantedBy=multi-user.target
EOF

#管理者で実行
#これをダウンロードして編集してもよい
wget -O /etc/systemd/system/misskey.service http://www.maibun.org/~nt/technocalnote/rasperryPiOS/Misskey/misskey.service
chmod 777 /etc/systemd/system/misskey.service
#編集するとき
#vi /etc/systemd/system/misskey.service

systemctl daemon-reload

#misskeyを再起動、状態を確認、20秒後にもう一度状態を確認
systemctl restart misskey;systemctl status misskey;sleep 20;systemctl status misskey;

#misskeyの起動が確認できたのち、misskeyを自動起動に設定
systemctl enable misskey

#管理者で実行
reboot

証明書更新

2021/07/07,2021/8/4追記

certbot certificates

Saving debug log to /var/log/letsencrypt/letsencrypt.log

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Found the following certs:
  Certificate Name: misskey.mydomain.org
    Domains: misskey.mydomain.org
    Expiry Date: 2021-10-01 23:30:56+00:00 (VALID: 85 days)
    Certificate Path: /etc/letsencrypt/live/misskey.mydomain.org/fullchain.pem
    Private Key Path: /etc/letsencrypt/live/misskey.mydomain.org/privkey.pem
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

certbot renew

less /var/log/letsencrypt/letsencrypt.log

2021-07-04 09:29:21,259:DEBUG:certbot.storage:Should renew, less than 30 days before certificate expiry 2021-08-02 11:56:23 UTC.
2021-07-04 09:29:21,260:INFO:certbot.renewal:Cert is due for renewal, auto-renewing...

(このあといろいろあり、自動更新が完了する。)

systemctl restart nginx;systemctl status nginx