IP-SSL-Zertifikat
Mit einem Befehl ein kostenloses, vertrauenswürdiges HTTPS-Zertifikat von Let's Encrypt für die IP-Adresse Ihres Servers – ohne Domain, automatisch installiert und erneuert.
Als root auf Ihrem Server ausführen
bash <(curl -sL ipk.me/ssl) -l de 216.73.217.175 -l de | Sprache des Berichts (wie diese Seite) |
-4 / -6 | Nur IPv4 oder IPv6 |
-w /var/www/html | Über das Wurzelverzeichnis Ihres Webservers validieren statt über einen temporären Server auf Port 80 |
-r "systemctl reload nginx" | Befehl nach jeder Erneuerung (Standard: laufendes nginx / Apache / Caddy neu laden) |
-d /etc/ssl/ipk | Installationsort der Zertifikatsdateien |
-y | Nicht nachfragen, bevor der Webserver auf Port 80 gestoppt wird |
--alpn | Über Port 443 (TLS-ALPN-01) statt Port 80 validieren |
--staging | Testumgebung von Let's Encrypt verwenden (nicht vertrauenswürdiges Zertifikat, zum Ausprobieren) |
203.0.113.10 2001:db8::10 | Aufzunehmende IP-Adressen. Ohne Angabe wird die ausgehende IPv4 / IPv6 des Servers verwendet; hat er weitere öffentliche IPs, werden Sie gefragt, welche aufgenommen werden sollen |
So funktioniert es
- Ein eingebauter, schlanker ACME-Client (nur bash, openssl und curl; python3 für den temporären Validierungsserver) beantragt das Zertifikat mit dem Kurzzeitprofil von Let's Encrypt: IP-Zertifikate gelten etwa 6 Tage und werden alle 3 Tage erneuert.
- Die Validierung läuft über Port 80 (HTTP-01), daher muss Port 80 der IP aus dem Internet erreichbar sein; vor der Ausstellung prüft ipk.me das von außen.
- Port 80 gesperrt? Port 443 geht auch (TLS-ALPN-01): --alpn angeben; ist nur Port 443 erreichbar, wird er automatisch gewählt. IP-Zertifikate lassen sich nicht per DNS validieren.
- Nach der Ausstellung werden Zertifikats- und Schlüsselpfad sowie die Gültigkeit ausgegeben; eine Kopie des Skripts liegt in /etc/ssl/ipk und ein täglicher Erneuerungsjob wird zur crontab hinzugefügt.
- Belegt nginx, Apache oder Caddy Port 80 / 443, wird er beim Ausstellen und Erneuern für einige Sekunden gestoppt; mit -w lässt sich das vermeiden.
- IPv4 und IPv6 kommen in ein Zertifikat. Private und CGNAT-Adressen erhalten keins. In Festlandchina sperren Cloud-Anbieter Port 80 oft bei Servern ohne ICP-Registrierung.
- Läuft unter Linux. Nur Ihre IP-Adressen werden an ipk.me gesendet; der private Schlüssel verlässt Ihren Server nie.