Generowanie i instalacja certyfikatu ssl wildcard na serwerze stunnel

W poniższym poradniku za komunikację SSL odpowiada serwer stunnel (Linux Ubuntu), a certyfikat dostarczany jest przez firmę UNIZETO (certum.pl). Domena dla której będziemy instalować certyfikat to: etoolbox.eu
Kolejność działań:

Generowanie klucza prywatnego
Generowanie pliku CSR (ang. Certificate Signing Request - żądanie podpisania certyfikatu)
Generowanie certyfikatu (strona: certum.pl)
Kopiowanie wygenerowanych certyfikatów (strona: certum.pl)
Kopiowanie certyfikatów urzędów pośrednich Certum PCC
Preparowanie pliku certyfikatu
Kopiowanie spreparowanego pliku certyfikatu na serwer stunnel

Generowanie klucza prywatnego

Aby wygenerować klucz prywatny, na serwerze Linux wykonujemy polecenie
```
 
openssl genrsa -out /etc/stunnel/ssl/etoolbox.eu.privatekey 2048
```
Klucz zapisany został w pliku /etc/stunnel/ssl/etoolbox.eu.privatekey

Generowanie pliku CSR (ang. Certificate Signing Request - żądanie podpisania certyfikatu)

WAŻNE, w tym pliku zawarte sa najważniejsze dane. Szczególnie nalezy zwrócić uwagę na pole "Common Name (e.g. server FQDN or YOUR name) []:".
W tym polu powinniśmy wpisać nazwę domeny dla której generujemy certyfikat.
Dla normalnej domeny, wpisujemy: etoolbox.eu. Natomiast dla domeny typu wildcard, wpisujemy: *.etoolbox.eu
Gdy dojdziemy do pozycji "A challenge password []:" wciskamy enter.
Plik CSR generujemy poleceniem.

 
root@stunnel:/etc/stunnel/ssl/# 
openssl req -new -key /etc/stunnel/ssl/etoolbox.eu.privatekey -out /etc/stunnel/ssl/etoolbox.eu.csr

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:PL
State or Province Name (full name) [Some-State]:mazowieckie
Locality Name (eg, city) []:warszawa
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:*.etoolbox.eu
Email Address []:info@etoolbox.eu
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

Klucz zapisany został w pliku /etc/stunnel/ssl/etoolbox.eu.csr. Aby sprawdzić dane zawarte w pliku csr można użyć narzędzia Odczyt danych z pliku SCR

Generowanie certyfikatu (strona: certum.pl)

Na podstronie "Aktywacja certyfikatów" - https://cservices.certum.pl/muc-customer/order/list aktywujemy certyfikat.
Generujemy go na podstawie naszego pliku CSR /etc/stunnel/ssl/etoolbox.eu.csr. Wyystarczy że skopiujemy zawartość pliku bezpośrednio ze konsoli (putty).
Możemy skopiować cały tekst, wraz z "-----BEGIN CERTIFICATE REQUEST-----" i "-----END CERTIFICATE REQUEST-----".

 
root@stunnel:/etc/stunnel/ssl/# 
cat /etc/stunnel/ssl/etoolbox.eu.csr

-----BEGIN CERTIFICATE REQUEST-----
MIIC4TCCXckCAQAwgZsxCzAJBgNVBAYTAlBMMRQwEgYDVQQIDAttYXpvd2llY2tp
ZTERMA8GA1UEBwwId2Fyc3phd2ExITAfBgNVBAoMGEludGVybmV0IFdpZGdpdHMg
UHR5IEx0ZDEXMBUGA1DEAwwOKi5wcndpemFyZHMucGwxJzAlBgkqhkiG9w0BCQEW
GGluZm9AY3JhbmJlcnJ5ZXhwZXJ0cy5wbDCCASIwDQYJKoZIhvcNAQEBBQADggEP
ADCCAQoCggEBANkivSJPlcNnejCvmN5fiKGlqgMiE/JVaANNNV1fGO1H3nnSJmLN
mnvBSyZMBxSFPRjfX5gDUCTbkQjoG1gNlrEI/y0e9KYgodvKBN6g8NgA4i/gt+1n
/SA9v+/FYtXJTh/msD0nyfoC/u20Xi57YDk4oNnv5jOiQEg2jPCZXGCNF4fIJgso
XsZWIkwH7gIJP8jiiEVNa3pjZKX6f7znLGJaFTgUdDib9I1yrBG6ZQ3a9N+qzPE8
krGapzRZ5EWp7b1234567gedte1Gak6t3pYen+AEtsLxgjqq8UwU4IFhHtsdT395y
a6/BOyAG4FIvIS+Eq0OTmI0TwRd/x2fNVQUCAwEAAaAAMA0GCSqGSIb3DQEBBQUA
A4IBAQA+wZtUzrVBtJXaiHFX5VQ+YW7J26b+45c4MrppSVJ6B5BiIWz5L2ayYcxn
7Y/2qUozEwDNGpMr48SFV+eqCC0nvEkIP98rAl2d5VUeQq9e1zisvvF0m7YyVyaQ
W8NOE86mShV928E7WuF2ESN/spJ5EOIraHRfvx07VJ6e4qj22ixMBE8Xrjz8EkTI
4f65N1AIk5Kk7w6xOoAxhG+wfb60ZNh/YQGrTbLu7bM1FdSTV6FdGuvzQROVlVeR
W82hhxk82PRQ26t5nEDWE44HHiPEiLqqXlzAXmlhTHNXNsepiOxqi0xvJ/un2ROH
Ui98l+Zk7fUWGDXevCOJ1234vM4l
-----END CERTIFICATE REQUEST-----

Następnie kopiujemy tekst do pola tekstowego. Wybieramy rodzaj algorytmu "SHA-2". Dlaczego używać algorytmu SHA-2 do generowania certyfikatu. W następnych krokach sprawdzamy czy wszystkie dane są poprawne, potwierdzamy regulaminy i generujemy docelowy certyfikat dla naszego serwera.

Kopiowanie wygenerowanych certyfikatów (strona: certum.pl)

Na podstronie https://cservices.certum.pl/muc-customer/customerCertificate/list wybieramy (jeśli jest ich więcej) odpowiedni certyfikat. Następnie wciskamy buttony "Zapisz binarnie" i "Zapisz tekstowo". Plik binarny zapisujemy pod nazwą "etoolbox.cer". Natomiast plik tekstowy zapisujemy pod nazwą "etoolbox.pem" Przykładowa zawartość pliku etoolbox.pem

Kopiowanie certyfikatów urzędów pośrednich Certum PCC

W następnym punkcie będziemy potrzebowali certyfikaty urzędów pośrednich. Dla certum.pl ściągamy dwa certyfikaty:

https://www.certum.pl/CA.pem

https://www.certum.pl/l2.pem

Preparowanie pliku certyfiktu

Aby certyfikat był poprawnie interpretowany przez serwer stunnel i przeglądarki 3 pliki certyfikatów musi połączyć w jeden plik. Plik końcowy powinien się składać z zawartości 3 plików:

Naszego certyfikatu tekstowego - plik etoolbox.pem
Certyfikatu CA - https://www.certum.pl/CA.pem
Certyfikatu L2 - https://www.certum.pl/l2.pem

Więcej certyfikatów dla Certum
Łączymy zawartość tych trzech plików i zapisujemy w pliku o nazwie etoolbox.eu.certificateKońcowy plik powinien wyglądać w ten sposób:

Kopiowanie spreparowanego pliku certyfikatu na serwer stunnel

Poniższe pliki kopiujemy na serwer do katalogu /etc/stunnel/ssl/:

etoolbox.eu.certificate
etoolbox.eu.privatekey

Następnie w pliku konfiguracyjnym /etc/stunnel/stunnel.conf wprowadzamy zmiany.
Zawartość końcowego pliku stunnel.conf.

 
sslVersion = all
options = NO_SSLv2
options = NO_SSLv3
setuid = root
setgid = root
debug = 1
pid = /var/run/stunnel.pid
socket = l:TCP_NODELAY=1
socket = r:TCP_NODELAY=1
output = /var/log/stunnel.log
delay = no
session = 3600
TIMEOUTclose = 3600
TIMEOUTidle = 3600
TIMEOUTbusy = 3600
TIMEOUTconnect = 3600
retry = yes
fips=no

[etoolbox_eu]
    connect = 192.168.1.100:443
    sni=https:etoolbox.eu
    key=/etc/stunnel/ssl/etoolbox.eu.privatekey
    cert=/etc/stunnel/ssl/etoolbox.eu.certificate