نحوه ساخت SSL رایگان با Let’s Encrypt

این راهنما چه نتیجه‌ای می‌دهد؟

با Certbot می‌توانید پس از درست‌بودن DNS و دسترسی پورت 80 یا روش DNS، گواهی Let’s Encrypt بگیرید و تمدید خودکار را آزمایش کنید.

گواهی معمولاً کوتاه‌عمر است، بنابراین Automation تمدید بخش اصلی راهکار است. HTTP-01 به مسیر وب و DNS-01 به کنترل DNS نیاز دارد و برای Wildcard معمولاً DNS-01 لازم است.

قبل از شروع

نسخه سیستم‌عامل و معماری CPU را ثبت کنید، از داده و فایل تنظیمات فعلی نسخه پشتیبان بگیرید و مطمئن شوید یک مسیر بازیابی مانند Console ارائه‌دهنده دارید. اگر سرور Production است، زمان تغییر، مسئول اجرا، معیار موفقیت و روش بازگشت را پیش از اولین فرمان مشخص کنید.

فرمان‌های این مقاله برای یک محیط متداول نوشته شده‌اند، اما نسخه بسته‌ها و مسیر فایل‌ها ممکن است بین نسخه‌های Ubuntu یا توزیع‌های دیگر فرق کند. مستندات رسمی نسخه نصب‌شده را مرجع نهایی بدانید و فرمانی را که اثرش را نمی‌دانید مستقیماً روی Production اجرا نکنید.

پیش‌نیازها و کنترل دسترسی

با یک کاربر شخصی دارای sudo کار کنید، ساعت سیستم و DNS را بررسی کنید و فضای آزاد دیسک و حافظه را بسنجید. اگر نصب یک سرویس شبکه‌ای است، از قبل مشخص کنید کدام مبدأ باید به کدام پورت دسترسی داشته باشد؛ نصب موفق با سرویس عمومی و بدون Firewall، نتیجه امنی نیست.

• DNS باید پیش از صدور به سرور درست برسد.
• پورت 80 برای HTTP-01 قابل دسترس باشد.
• renew --dry-run را بعد از نصب اجرا کنید.

مراحل اجرا

Certbot و Plugin وب‌سرور را از روش رسمی سیستم نصب، گواهی را صادر و تایمر تمدید و Dry-run را بررسی کنید.

فرمان‌ها را به‌ترتیب اجرا کنید و خروجی هر مرحله را بخوانید. اگر Package manager، Service manager یا ابزار اعتبارسنجی خطا داد، به مرحله بعد نروید. توقف در همان نقطه، عیب‌یابی را بسیار ساده‌تر از ادامه‌دادن با یک نصب نیمه‌کاره می‌کند.

1sudo certbot --nginx -d example.com -d www.example.com2sudo certbot certificates3sudo certbot renew --dry-run4systemctl list-timers | grep certbot

هر مرحله چه کاری انجام می‌دهد؟

به‌طور معمول فرایند شامل تازه‌کردن metadata بسته‌ها، نصب نرم‌افزار از منبع مشخص، ثبت یا فعال‌کردن Service و سپس آزمون محلی است. فعال‌سازی خودکار در Boot با سالم‌بودن سرویس در همین لحظه فرق دارد؛ هر دو را جداگانه بررسی کنید.

اگر Repository شخص ثالث اضافه می‌کنید، کلید امضا، دامنه دانلود و Codename توزیع را کنترل کنید. Pin کردن نسخه یا حداقل ثبت نسخه نصب‌شده باعث می‌شود محیط بعدی قابل تکرار باشد و Upgrade ناگهانی شما را غافلگیر نکند.

چطور نصب را تأیید کنیم؟

سه لایه را بررسی کنید: Process یا Service باید Running باشد، برنامه باید روی Address و Port مورد انتظار گوش کند و یک درخواست واقعی باید پاسخ درست بگیرد. پس از آن Log را برای Warningهای زمان Startup بخوانید؛ سبز بودن systemctl به‌تنهایی سلامت برنامه را تضمین نمی‌کند.

آزمون را هم از داخل سرور و هم از مسیر واقعی کاربر انجام دهید. موفقیت روی localhost ممکن است با DNS، Reverse proxy، Firewall یا TLS شکسته شود. خروجی نسخه و فایل تنظیمات مؤثر را همراه با نتیجه آزمون در مستندات سرویس ثبت کنید.

امن‌سازی برای محیط واقعی

سرویس را با کمترین سطح دسترسی اجرا کنید، Secretها را از فایل‌های عمومی و Repository خارج نگه دارید و فقط Interface و Port لازم را Bind کنید. برای Log محدودیت حجم و Rotation، برای داده Retention و Backup، و برای خطا Alert قابل اقدام تعریف کنید.

اگر سرویس داده پایدار دارد، قبل از ورود Traffic یک Restore آزمایشی انجام دهید. همچنین مصرف CPU، RAM، دیسک و تعداد Connection را از روز اول پایش کنید تا Baseline سالم داشته باشید؛ بدون Baseline تشخیص تغییر تدریجی دشوار می‌شود.

اگر مرحله‌ای خطا داد چه کنیم؟

صدور موفق امروز تضمین تمدید آینده نیست؛ تغییر DNS، Firewall یا حذف Challenge path می‌تواند Renewal را بشکند.

پیام خطا و چند خط قبل و بعد آن را نگه دارید، وضعیت Package manager و Service را بررسی کنید و تغییرات همان مرحله را بازبینی کنید. به‌جای اجرای چند راه‌حل پراکنده از اینترنت، ابتدا مشخص کنید خطا مربوط به شبکه، Repository، Permission، Syntax، Port یا Dependency است.

برای بازگشت، فایل تنظیمات قبلی، نسخه بسته و داده را در دسترس نگه دارید. Rollback خوب فقط حذف Package نیست؛ باید بدانید چه فایل، کاربر، Rule فایروال یا Schema در طول نصب تغییر کرده است.

نگهداری بعد از نصب

نصب پایان کار نیست. چرخه Patch، آزمون Upgrade، Backup، Rotation لاگ، تمدید گواهی و بازبینی دسترسی را در تقویم عملیات قرار دهید. ابتدا Update را در محیط آزمایشی اجرا کنید و برای سرویس حیاتی نسخه و زمان تغییر را ثبت کنید.

هر چند وقت یک‌بار از دید یک سرور تازه، راهنما را دوباره اجرا کنید. اگر نتیجه فقط با دانش ضمنی یک نفر قابل تکرار است، فرایند هنوز پایدار نشده و باید به Script، Infrastructure as Code یا Runbook دقیق‌تر تبدیل شود.

پرسش‌های مهمی که قبل از اقدام باید جواب دهید

برای اینکه پاسخ «نحوه ساخت SSL رایگان با Let’s Encrypt» فقط در حد اطلاعات عمومی نماند، ابتدا وضعیت فعلی خود را با عدد توصیف کنید: نسخه سیستم‌عامل یا نرم‌افزار، تعداد کاربر هم‌زمان، مصرف معمول و اوج منابع، حجم و رشد داده، محدودیت شبکه و بیشترین قطعی قابل قبول. بدون این اطلاعات ممکن است توصیه‌ای که از نظر فنی درست است، برای محیط شما انتخاب مناسبی نباشد.

دو سؤال بعدی مستقیماً از نکات این موضوع می‌آیند: «DNS باید پیش از صدور به سرور درست برسد.» در زیرساخت شما چگونه اندازه‌گیری یا تأیید می‌شود؟ و «پورت 80 برای HTTP-01 قابل دسترس باشد.» چه اثری روی کاربر، هزینه یا مسیر بازیابی دارد؟ پاسخ را در قالب شواهدی مانند خروجی فرمان، نمودار متریک، نتیجه آزمون یا مستند ارائه‌دهنده ثبت کنید؛ اتکا به حافظه و حدس برای تصمیم عملیاتی کافی نیست.

یک برنامه عملی کم‌ریسک

کار را با ثبت وضعیت فعلی و یک معیار موفقیت آغاز کنید. سپس پیشنهاد اصلی این راهنما را در کوچک‌ترین محیط نماینده اجرا کنید: Certbot و Plugin وب‌سرور را از روش رسمی سیستم نصب، گواهی را صادر و تایمر تمدید و Dry-run را بررسی کنید. نتیجه را در حالت عادی و در یک سناریوی خطا یا فشار کنترل‌شده بسنجید. اگر معیار بهتر نشد، به‌جای افزودن تغییرات بیشتر، فرض اولیه را بازبینی کنید.

پیش از اعمال تغییر در سرویس اصلی، روش بازگشت، مسئول تصمیم و زمان توقف را روشن کنید. این هشدار را نیز به‌عنوان شرط توقف در نظر بگیرید: صدور موفق امروز تضمین تمدید آینده نیست؛ تغییر DNS، Firewall یا حذف Challenge path می‌تواند Renewal را بشکند. پس از اجرا، نتیجه، نسخه‌ها و تنظیمات مؤثر را مستند کنید و یک زمان بازبینی تعیین کنید؛ تغییر بدون پایش ممکن است امروز سالم به نظر برسد اما در پیک بعدی شکست بخورد.

• DNS باید پیش از صدور به سرور درست برسد.
• پورت 80 برای HTTP-01 قابل دسترس باشد.
• renew --dry-run را بعد از نصب اجرا کنید.

چک‌لیست نهایی

برای پایان «نحوه ساخت SSL رایگان با Let’s Encrypt» باید نسخه و منبع نصب، وضعیت سرویس، پورت و Firewall، آزمون واقعی، Log، Backup، Alert و روش Rollback مشخص باشند. اگر یکی از این موارد نامعلوم است، نصب از نظر عملیاتی هنوز کامل نیست.

• DNS باید پیش از صدور به سرور درست برسد.
• پورت 80 برای HTTP-01 قابل دسترس باشد.
• renew --dry-run را بعد از نصب اجرا کنید.