• Распространение стандарта TLS SNI
• Сертификаты Let's Encrypt и ACME вообще во внутренней сети
• Что такое протокол ACME? Automatic Certificate Management Environment
• Как выдавать бесплатные SSL сертификаты с помощью certbot, Nginx и Docker

• Расширение протокола TLS (Transport Layer Security) - SNI (Server Name Indication) и бесплатные сертификаты от Let's Encrypt, на основе DV (Domain Validation), открыли возможность сделать безопасными соединения во “всем интернете”, а протокол с мультяшной аббревиатурой ACME (Automated Certificate Management Environment), позволил автоматизировать процессы управления сертификатами
• Давайте на практически полезных примерах разберемся, как все это устроено

• Получить Let's Encrypt сертификат для сайта в “ручном” режиме используя DNS и HTTP/HTTPS/code/file-based Domain Validation
• Автоматизировать управление сертификатами с помощью ACME-клиента Certbot
• Автоматизировать управление сертификатами в Kubernetes с помощью оператора cert-manager

• Тэги: HAProxy, Apache, Nginx, Linux, Docker, Kubernetes, Certbot, cert-manager, …

• site*.mgtu.ru

# hostnamectl hostname vps

• Локализация временной зоны

• Технология Docker
• Установка minikube

• Letsencrypt Certbot

• Запрос и подтверждение сертификата "автоматически"

vps:~# systemctl disable apache2.service --now

...

vps:~# systemctl disable nginx.service --now

• Технология Docker
• Установка minikube
• Minikube ingress-nginx-controller

• Deployment, Service
• ingress example (с tls)

student@vps:~/apwebd-k8s$ curl -H "Host: siteN.mgtu.ru" http://192.168.49.2 -v

student@vps:~/apwebd-k8s$ curl -H "Host: siteN.mgtu.ru" https://192.168.49.2 -k

• Сервис Keepalived (для 443, можно, для демонстрации, и 80)

#Add port 80 for demonstration how does a cert-manager work 
virtual_server 195.19.40.42 443 {
  lb_algo wlc
  lb_kind NAT
  protocol TCP
  real_server 192.168.49.2 443 {}
}

$ curl http://site194.mgtu.ru -v

$ curl https://site194.mgtu.ru -k

• cert-manager

student@vps:~$ kubectl -n my-ns get pods
...
cm-acme-http-solver-...
...

student@vps:~/apwebd-k8s$ kubectl -n my-ns get ingress -o yaml | grep acme-challenge

student@vps:~/apwebd-k8s$ curl http://siteN.mgtu.ru/.well-known/acme-challenge/NNNNNNNNNNNNNNNNNNNNN

student@vps:~/apwebd-k8s$ kubectl -n my-ns exec -ti pods/my-webd-<TAB> -- bash       

root@my-webd-...:/usr/local/apache2# apt update; apt install curl

root@my-webd-...:/usr/local/apache2# curl http://siteN.mgtu.ru/.well-known/acme-challenge/NNNNNNNNNNNNNNNNNNNNN     

• Убираем 80-й порт из Keepalive
• Решение HAProxy

...
frontend ft-vps
    mode http
    bind *:80
    default_backend      bk-minikube-ingress
backend bk-minikube-ingress
    mode        http
    server  minikube 192.168.49.2:80 check

$ curl https://siteN.mgtu.ru -v