Tutorial: uso de certificados SSL de Let’s Encrypt con una instancia de LAMP en Lightsail - Amazon Lightsail

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Tutorial: uso de certificados SSL de Let’s Encrypt con una instancia de LAMP en Lightsail

Amazon Lightsail facilita la protección de los sitios web y las aplicaciones con SSL/TLS mediante balanceadores de carga de Lightsail. Sin embargo, el uso de un balanceador de carga de Lightsail podría no ser siempre la elección adecuada. Quizás su sitio no necesita la escalabilidad o la tolerancia a errores que proporcionan los balanceadores de carga, o quizás necesita optimizar costos.

En este último caso, puede considerar el uso de Let's Encrypt para obtener un certificado SSL gratuito. Si es así, no hay ningún problema. Puede integrar esos certificados con instancias de Lightsail. Este tutorial muestra cómo solicitar un certificado comodín de Let’s Encrypt mediante Certbot e integrarlo con su instancia de LAMP.

importante
  • La distribución de Linux utilizada por las instancias de Bitnami cambió de Ubuntu a Debian en julio de 2020. Debido a este cambio, algunos de los pasos de este tutorial variarán dependiendo de la distribución de Linux de su instancia. Todas las instancias de esquema de Bitnami creadas después del cambio utilizan la distribución Debian Linux. Las instancias creadas antes del cambio seguirán utilizando la distribución Ubuntu Linux. Para comprobar la distribución de la instancia, ejecute el comando uname -a . La respuesta mostrará Ubuntu o Debian como la distribución Linux de su instancia.

  • Bitnami está en proceso de modificar la estructura de archivos de muchos de sus pilas. Las rutas de los archivos en este tutorial pueden cambiar dependiendo de si la pila de Bitnami utiliza paquetes nativos del sistema Linux (Enfoque A), o si es una instalación autónoma (Enfoque B). Para identificar su tipo de instalación de Bitnami y qué método debe seguir, ejecute el siguiente comando:

    test ! -f "/opt/bitnami/common/bin/openssl" && echo "Approach A: Using system packages." || echo "Approach B: Self-contained installation."

Contenido

Paso 1: completar los requisitos previos

Complete los siguientes requisitos previos si aún no lo ha hecho:

Una vez que haya completado los requisitos previos, continúe en la siguiente sección de este tutorial.

Paso 2: instalar Certbot en la instancia

Certbot es un cliente que se utiliza para solicitar un certificado de Let's Encrypt e implementarlo en un servidor web. Let's Encrypt utiliza el protocolo ACME para emitir certificados y Certbot es un cliente preparado para ACME que interactúa con Let's Encrypt.

Para instalar Certbot en la instancia de Lightsail
  1. Inicie sesión en la consola de Lightsail.

  2. En la página de inicio de Lightsail, elija el icono de conexión rápida de SSH para la instancia a la que desea conectarse.

    
            Conexión rápida de SSH en la página de inicio de Lightsail.
  3. Una vez que se haya conectado la sesión SSH basada en navegador de Lightsail, ingrese el siguiente comando para actualizar los paquetes en su instancia:

    sudo apt-get update
    
            Actualice los paquetes en la instancia.
  4. Ingrese el siguiente comando para instalar el paquete de propiedades del software: Los desarrolladores de Certbot utilizan un Personal Package Archive (PPA) para distribuir Certbot. El paquete de propiedades de software hace que sea más eficaz trabajar con PPA.

    sudo apt-get install software-properties-common
    nota

    Si detecta un error Could not get lock al ejecutar el comando sudo apt-get install, espere aproximadamente 15 minutos y vuelva a intentarlo. Este error puede deberse a un trabajo cron que utiliza la herramienta de administración de paquetes Apt para instalar actualizaciones de forma desatendida.

  5. Ingrese el siguiente comando para agregar Certbot al repositorio apt local:

    nota

    El paso 5 solo se aplica a las instancias que utilizan la distribución Ubuntu Linux. Omita este paso si su instancia utiliza la distribución Debian Linux.

    sudo apt-add-repository ppa:certbot/certbot -y
  6. Ingrese el siguiente comando para actualizar apt para que incluya el nuevo repositorio:

    sudo apt-get update -y
  7. Ingrese el siguiente comando para instalar Certbot:

    sudo apt-get install certbot -y

    Certbot ya se ha instalado en su instancia de Lightsail.

  8. Mantenga abierta la ventana de terminal de la sesión SSH basada en navegador; volverá a ella posteriormente en este tutorial. Continúe con la siguiente sección de este tutorial.

Paso 3: Solicitar un certificado comodín de SSL de Let's Encrypt

Comience el proceso de solicitud de un certificado de Let's Encrypt. Con Certbot, solicite un certificado comodín que le permita utilizar un solo certificado para un dominio y sus subdominios. Por ejemplo, un único certificado comodín funciona para el dominio de nivel superior example.com y los subdominios blog.example.com y stuff.example.com.

Para solicitar un certificado comodín de SSL de Let’s Encrypt
  1. En la misma ventana de terminal de SSH basada en navegador utilizada en el paso 2 de este tutorial, ingrese los siguientes comandos para definir una variable de entorno para su dominio. Ahora puede copiar y pegar comandos de un modo más eficiente para obtener el certificado.

    DOMAIN=Domain
    WILDCARD=*.$DOMAIN

    En el comando, reemplace Domain con el nombre de dominio registrado.

    Ejemplo:

    DOMAIN=example.com
    WILDCARD=*.$DOMAIN
  2. Ingrese el siguiente comando para confirmar que las variables devuelven los valores correctos:

    echo $DOMAIN && echo $WILDCARD

    Debería ver un resultado similar al siguiente:

    
            Confirme las variables de entorno del dominio.
  3. Ingrese el siguiente comando para iniciar Certbot en modo interactivo. Este comando le indica a Certbot que use un método de autorización manual con desafíos de DNS para verificar la propiedad del dominio. Solicita un certificado comodín para su dominio de nivel superior, así como sus subdominios.

    sudo certbot -d $DOMAIN -d $WILDCARD --manual --preferred-challenges dns certonly
  4. Ingrese su dirección de correo electrónico cuando se le solicite, ya que se utiliza para la renovación y los avisos de seguridad.

  5. Lea las condiciones de servicio de Let's Encrypt. Cuando haya terminado, pulse A si está de acuerdo. Si no está de acuerdo, no puede obtener un certificado de Let's Encrypt.

  6. Responda en consecuencia a la pregunta para compartir su dirección de correo electrónico y a la advertencia sobre el registro de la dirección IP.

  7. Ahora Let's Encrypt le pide que verifique que usted es el propietario del dominio especificado. Para ello, se añaden registros TXT para los registros de DNS del dominio. Se proporciona un conjunto de valores de registro TXT, tal y como se muestra en el siguiente ejemplo:

    nota

    Let's Encrypt puede proporcionar uno o varios registros TXT que debe utilizar para la verificación. En este ejemplo, se nos proporcionaron dos registros TXT para utilizarlos para la verificación.

    
            Registros TXT para certificados de Let's Encrypt.
  8. Mantenga abierta la sesión SSH basada en navegador de Lightsail; volverá a ella posteriormente en este tutorial. Continúe con la siguiente sección de este tutorial.

Paso 4: agregar registros TXT a la zona de DNS del dominio

Al añadir un registro TXT a la zona DNS de su dominio se verifica que usted es el propietario del dominio. Con fines de demostración, utilizamos la zona DNS de Lightsail. Sin embargo, los pasos podrían ser similares para otras zonas DNS normalmente alojadas por registradores de dominio.

nota

Para obtener más información acerca de cómo crear una zona DNS de Lightsail para su dominio, consulte Creación de una zona DNS para administrar los registros de DNS de un dominio en Lightsail.

Para añadir registros TXT a la zona DNS del dominio en Lightsail
  1. En la página de inicio de Lightsail, elija la pestaña Domains & DNS (Dominios y DNS).

  2. En la sección Zonas DNS de la página, elija la Zona DNS del dominio que ha especificado en la solicitud de certificado de Certbot.

  3. En el editor de zona DNS, elija DNS records (Registros de DNS).

  4. Elija Añadir registro.

  5. En el menú desplegable Record type (Tipo de registro), elija TXT record (Registro TXT).

  6. Ingrese los valores especificados en la solicitud de certificado de Let's Encrypt en los campos Record name (Nombre de registro y Responds with (Responde con).

    nota

    La consola de Lightsail rellena automáticamente la parte APEX del dominio. Por ejemplo, si desea agregar el subdominio _acme-challenge.example.com, entonces solo tiene que introducir _acme-challenge en el cuadro de texto, y Lightsail agrega la parte .example.com en su lugar cuando guarda el registro.

  7. Seleccione Guardar.

  8. Repita los pasos 4 a 7 para añadir el segundo conjunto de registros TXT especificado por la solicitud de certificado de Let's Encrypt.

  9. Mantenga abierta la ventana del navegador de la consola de Lightsail: volverá a ella más adelante en este tutorial. Continúe con la siguiente sección de este tutorial.

Paso 5: Confirmar que los registros TXT se han propagado

Utilice la utilidad MxToolbox para confirmar que los registros TXT se han propagado por el DNS de Internet. La propagación de registros de DNS puede tardar un tiempo en función de su proveedor de alojamiento de DNS y el tiempo de vida (TTL) configurado para los registros de DNS. Es importante que realice este paso y que confirme que sus registros TXT se han propagado antes de continuar con la solicitud de certificado de Certbot. De lo contrario, se produce un error al solicitar el certificado.

Para confirmar que los registros TXT se han propagado en el DNS de Internet
  1. Abra una nueva ventana en el navegador y vaya a https://mxtoolbox.com/TXTLookup.aspx.

  2. Ingrese el siguiente texto en el cuadro de texto.

    _acme-challenge.Domain

    Reemplace Domain con el nombre de dominio registrado.

    Ejemplo:

    _acme-challenge.example.com
    
            Búsqueda de registros TXT de MXTookbox.
  3. Elija TXT Lookup (Búsqueda de TXT) para realizar la comprobación.

  4. Se obtiene una de las siguientes respuestas:

    • Si sus registros de TXT se han propagado al DNS de Internet, verá una respuesta similar a la que se muestra en la siguiente captura de pantalla. Cierre la ventana del navegador y continúe en la siguiente sección de este tutorial.

      
                Confirmación de que los registros de TXT se han propagado.
    • Si su registros TXT no se han propagado al DNS de Internet, verá la respuesta DNS Record not found (Registro de DNS no encontrado). Confirme que ha añadido los registros de DNS correctos a la zona DNS de su dominio. Si ha añadido los registros correctos, espere un poco más a que los registros de DNS de su dominio se propaguen y ejecute de nuevo la búsqueda de TXT.

Paso 6: Finalizar la solicitud del certificado de SSL de Let's Encrypt

Vuelva a la sesión de SSH basada en navegador de Lightsail para la instancia de LAMP y finalice la solicitud de certificado de Let’s Encrypt. Certbot guarda sus archivos de certificados SSL, de cadena y de clave en un directorio específico en su instancia de LAMP.

Para finalizar la solicitud de certificado SSL de Let’s Encrypt
  1. En la sesión de SSH basada en navegador de Lightsail para su instancia LAMP, pulse Intro para continuar su solicitud de certificado de SSL de Let's Encrypt. Si se realiza correctamente, aparece una respuesta similar a la que se muestra en la siguiente captura de pantalla:

    
            Certificado de Let's Encrypt solicitado correctamente.

    El mensaje confirma que sus archivos de certificado, de cadena y de clave están almacenados en el directorio /etc/letsencrypt/live/Domain/. Domain será el nombre de dominio registrado, como /etc/letsencrypt/live/example.com/.

  2. Anote la fecha de vencimiento especificada en el mensaje. Puede utilizarla para renovar su certificado en dicha fecha.

    
            Fecha de renovación de certificado de Let's Encrypt.
  3. Ahora que tiene el certificado SSL de Let's Encrypt, continúe en la siguiente sección de este tutorial.

Cree enlaces a los archivos de certificados SSL de Let's Encrypt del directorio del servidor Apache de la instancia de LAMP. Además, haga una copia de seguridad de los certificados existentes, por si los necesita más adelante.

Para crear enlaces a los archivos de certificados de Let's Encrypt del directorio del servidor Apache
  1. En la sesión de SSH basada en navegador de Lightsail de su instancia de LAMP, ingrese el siguiente comando para detener los servicios de pila de LAMP subyacentes:

    sudo /opt/bitnami/ctlscript.sh stop

    Verá una respuesta parecida a la siguiente:

    
            Servicios de instancia detenidos.
  2. Ingrese el siguiente comando para definir una variable de entorno para su dominio.

    DOMAIN=Domain

    En el comando, reemplace Domain con el nombre de dominio registrado.

    Ejemplo:

    DOMAIN=example.com
  3. Ingrese el siguiente comando para confirmar que las variables devuelven los valores correctos:

    echo $DOMAIN

    Debería ver un resultado similar al siguiente:

    
            Confirme la variable de entorno del dominio.
  4. Ingrese los siguientes comandos individualmente para renombrar los archivos de certificados existentes como copias de seguridad. Consulte el bloque Importante al principio de este tutorial para obtener información sobre las diferentes distribuciones y estructuras de archivos.

    • Para distribuciones de Debian Linux

      Enfoque A (instalaciones de Bitnami utilizando paquetes de sistema):

      sudo mv /opt/bitnami/apache2/conf/bitnami/certs/server.crt /opt/bitnami/apache2/conf/bitnami/certs/server.crt.old
      sudo mv /opt/bitnami/apache2/conf/bitnami/certs/server.key /opt/bitnami/apache2/conf/bitnami/certs/server.key.old

      Enfoque B (instalaciones autónomas de Bitnami):

      sudo mv /opt/bitnami/apache2/conf/server.crt /opt/bitnami/apache2/conf/server.crt.old
      sudo mv /opt/bitnami/apache2/conf/server.key /opt/bitnami/apache2/conf/server.key.old
    • Para instancias más antiguas que utilizan la distribución Ubuntu Linux:

      sudo mv /opt/bitnami/apache/conf/bitnami/certs/server.crt /opt/bitnami/apache/conf/bitnami/certs/server.crt.old
      sudo mv /opt/bitnami/apache/conf/bitnami/certs/server.key /opt/bitnami/apache/conf/bitnami/certs/server.key.old
  5. Ingrese cada uno de los comandos siguientes para crear enlaces a los archivos de certificados de Let’s Encrypt del directorio del servidor apache2. Consulte el bloque Importante al principio de este tutorial para obtener información sobre las diferentes distribuciones y estructuras de archivos.

    • Para distribuciones de Debian Linux

      Enfoque A (instalaciones de Bitnami utilizando paquetes de sistema):

      sudo ln -sf /etc/letsencrypt/live/$DOMAIN/privkey.pem /opt/bitnami/apache2/conf/bitnami/certs/server.key
      sudo ln -sf /etc/letsencrypt/live/$DOMAIN/fullchain.pem /opt/bitnami/apache2/conf/bitnami/certs/server.crt

      Enfoque B (instalaciones autónomas de Bitnami):

      sudo ln -sf /etc/letsencrypt/live/$DOMAIN/privkey.pem /opt/bitnami/apache2/conf/server.key
      sudo ln -sf /etc/letsencrypt/live/$DOMAIN/fullchain.pem /opt/bitnami/apache2/conf/server.crt
    • Para instancias más antiguas que utilizan la distribución Ubuntu Linux:

      sudo ln -s /etc/letsencrypt/live/$DOMAIN/privkey.pem /opt/bitnami/apache/conf/bitnami/certs/server.key
      sudo ln -s /etc/letsencrypt/live/$DOMAIN/fullchain.pem /opt/bitnami/apache/conf/bitnami/certs/server.crt
  6. Ingrese el siguiente comando para iniciar los servicios de pila de LAMP subyacentes que detuvo anteriormente:

    sudo /opt/bitnami/ctlscript.sh start

    Debería ver un resultado similar al siguiente:

    
            Servicios de instancia iniciados.

    Su instancia LAMP ya está configurada para utilizar el cifrado SSL. Sin embargo, no se redirige automáticamente el tráfico de HTTP a HTTPS.

  7. Continúe con la siguiente sección de este tutorial.

Paso 8: Configurar el redireccionamiento HTTP a HTTPS de una aplicación web

Puede configurar el redireccionamiento HTTP a HTTPS para su instancia de LAMP. Con la redirección automática de HTTP a HTTPS solo pueden acceder a su sitio los clientes mediante SSL, incluso cuando se conecten a través de HTTP.

Para configurar el redireccionamiento HTTP a HTTPS de la aplicación web
  1. En la sesión de SSH basada en navegador de Lightsail para su instancia LAMP, ingrese el siguiente comando para editar el archivo de configuración del servidor web Apache con el editor de texto Vim:

    sudo vim /opt/bitnami/apache2/conf/bitnami/bitnami.conf
    nota

    Este tutorial utiliza Vim con fines de demostración, pero se puede utilizar cualquier editor de texto de su elección para este paso.

  2. Pulse i para acceder al modo de inserción en el editor Vim.

  3. En el archivo, ingrese el siguiente texto entre DocumentRoot "/opt/bitnami/apache2/htdocs" y <Directory "/opt/bitnami/apache2/htdocs">:

    RewriteEngine On RewriteCond %{HTTPS} !=on RewriteRule ^/(.*) https://%{SERVER_NAME}/$1 [R,L]

    El resultado debe ser similar a lo siguiente:

    
            Archivo de configuración Apache editado para el redireccionamiento de HTTP a HTTPS.
  4. Pulse la tecla ESC y, a continuación, ingrese :wq para escribir (guardar) los cambios y salir de Vim.

  5. Ingrese el siguiente comando para reiniciar los servicios de pila de LAMP subyacentes y hacer efectivos los cambios:

    sudo /opt/bitnami/ctlscript.sh restart

    Su instancia de LAMP ya está configurada para redireccionar automáticamente las conexiones de HTTP a HTTPS. Cuando un visitante se dirige a http://www.example.com, se le redirige automáticamente a la dirección cifrada https://www.example.com.

Paso 9: Renovar los certificados de Let's Encrypt cada 90 días

Los certificados de Let's Encrypt son válidos durante 90 días. Los certificados se pueden renovar 30 días antes de que caduquen. Para renovar los certificados de Let's Encrypt, ejecute el comando original que utilizó para obtenerlos. Repita los pasos de la sección Solicitar un certificado comodín de SSL de Let”s Encrypt de este tutorial.