顯示具有 cloudflare 標籤的文章。 顯示所有文章
顯示具有 cloudflare 標籤的文章。 顯示所有文章

2024年1月11日 星期四

Synology NAS 使用 Private IP, 自訂網域 與 Wildcard SSL 來提供 HTTPS 服務並完成憑證定期更新與設定 @ DSM 7.2.1, DS723+

之前已經處理過 DS216play 的情況，撰寫過兩篇筆記：

這次在處理 DS723+ / DSM 7.2.1 時，有在追細一點，但整體上的流程 2022年的那篇只做了一半，他並沒有做到自動更新，而當時追的時候也沒追清楚。

簡略的流程：
  1. 參考 2022年的方式，先透過 acme.sh 產出憑證（例如用 Cloudflare 維護 DNS record 時，可以輕鬆呼叫 Cloudflare API 完成 txt record 更新），接著到 Synology 網頁管理 -> 控制台 -> 連線能力 -> 憑證 -> 新增 -> 新增憑證 -> 匯入憑證
  2. 這時匯入完畢後，其實在系統底層可以看到資訊，我原先在 2022年那篇誤認為 /usr/syno/etc/www/certificate/system_default/cert.conf 的描述位置（因為從 Nginx 設定檔有關），細追後，發現真正的位置在 /usr/syno/etc/certificate/_archive/ 某個目錄內
    • 用 cat /usr/syno/etc/certificate/_archive/INFO 可以看到你自己上傳的憑證，假設是在 /usr/syno/etc/certificate/MySelf 這目錄，內有 cert.pem, chain.pem, fullchain.pem, privkey.pem
  3. 這時若把 acme.sh 安置好，可以在 Synology NAS 內某個使用者的家目錄運行，那在他家目錄中就會有 ~/.acme.sh/*.YourDomain_ecc/ 這類位置，內有 ca.cer, '*.YourDomain.cer', '*.YourDomain.key', 'fullchain.cer' 和 '*.YourDomain.pkcs8'，這時，就要把 /usr/syno/etc/certificate/MySelf 內的完成同步更新，例如使用 symbolic link 
  4. 後續，就回到 Synology 網頁介面 -> 控制台 -> 任務排程表 -> 新增一則任務並使用 root 權限 -> 設定每月執行一次 -> 在使用者定義指令碼那邊，可以直接呼叫 script (例如包裝成 renew-ssl.sh）在指定使用者家目錄完成憑證更新、接著在把 nginx reload
    • sudo -u YourNASUser bash /var/services/homes/YourNASUser/renew-ssl.sh
    • sudo nginx -t && sudo synopkg restart --service nginx && sudo synosystemctl reload nginx
目前看來，在 (2) 那邊找到的實際儲存位置時，透過 symbolic link 改到取 (3) 的資料，如此在控制台憑證列表可以立即觀看到 acme.sh renew 後的延長期限數字，這邊有提到 '*.YourDomain.pkcs8' 檔案格式，是跟 Synology NAS 使用的格式有關，他在呼叫 acme.sh renew 時，可以多添加 --to-pkcs8 參數來產生。


現況應當還有個隱憂，那就是 /usr/syno/etc/certificate/MySelf/*.pem 可完成自動更新，那 nginx 設定取得的憑證資訊是否也會更新？目前推猜好像不是同步的，且更新時機也還不明，只能等下個期週期後再來看看了。暫時推論是在設定憑證的系統預設時，才從 /usr/syno/etc/certificate/MySelf/*.pem 複製到 /usr/syno/etc/www/certificate/system_default/ 使用

張貼者： 於 沒有留言:
標籤： , , , , , , , ,

2022年8月23日 星期二

Cloudflare 1.1.1.1 FOR FAMILIES 提供阻擋惡意網站與成人網站的 DNS 查詢服務


最近跟朋友聊天，才發現 Cloudflare 除了提供 1.1.1.1 反應速度極快的 DNS 查詢服務外，還有提供阻擋惡意網站、成人網站的 DNS 查詢服務！當發現是惡意網站時，直接給予 0.0.0.0 (查不到) 的回饋，如此使用者在瀏覽網站時，不小心點擊到的惡意連結也不會瀏覽到，對於家裡有長輩、小孩的環境來說，真的很不錯。

大概五六年前在幫公司做 使用者生成內容 (User-generated content) 時，再加上規劃權限機制，打算從大家公開的資料中，整理出熱門的網站/影片連結出來，這時就會踩到有人擺了色情網站等問題，那時則是做了一套 URL Checker/Filter (SPAM) 機制，透過網域黑名單做的。現在，單純用 Cloudflare 提供的 DNS 來查詢也能直接達到類似的效果。

Cloudflare 1.1.1.1 FOR FAMILIES: https://one.one.one.one/family/
  • 1.1.1.1
    • 與 Google 8.8.8.8, 8.8.4.4 同樣效果但標榜更快、更注重隱私
    • 2018.04.01 開始的服務
  • 1.1.1.2, 1.0.0.2
    • 可阻擋惡意網站: Malware Blocking Only
  • 1.1.1.3, 1.0.0.3
    • 可阻擋惡意網站+成人網站: Malware and Adult Content Blocking Together
如此，在疫情後常態在家上課時，小孩拿手機平板連到家裡的 WIFI AP ，這時在 WIFI AP 的 DHCP 設置 DNS = 1.1.1.3 , 1.0.0.3 後，就可以簡單防護到所有連到此 WIFI AP 的設備，可防止小孩誤點、誤連到惡意網站和成人網站內容，畢竟有不少惡意網站/成人網站仍會買流量的，立即能避開一堆奇怪廣告。當然，對長輩來說也有一樣的效果。

圖：TP-Link WIFI AP 之 DHCP 設定 主要 DNS / 次要 DNS

其他：
張貼者： 於 沒有留言:
標籤： , , , , , , ,

2018年7月1日 星期日

[NAS] Private IP Server 與 Let's Encrypt Wildcard SSL 憑證 / HTTPS 服務

家裡擺了一台 Synology NAS 躲在防火牆後面，一直都是用 private ip 在服務的，以前 Let's Encrypt 有免費的 SSL 憑證服務，但驗證方式需要讓對方連到 server ，一直無法在 private ip server 啟用，可惜了點！然而，Let's Encrypt 開放 Wildcard SSL 憑證服務，採用 DNS TXT Record 驗證，這時就可以上場了！

我的 NAS 是幾年前買的 Synology DS216play ，他的 CPU 挺麻煩的，讓我額外安裝軟體都很不便利，原先想採用 certbot 來做事，安裝了 python3、pip 和 virtualenv 後，最後還是卡關，卡在安裝軟體還需要 compiler 來編譯，擺爛三個月後，我改用了 https://github.com/Neilpang/acme.sh

acme.sh 的使用很方便：

$ wget https://raw.githubusercontent.com/Neilpang/acme.sh/master/acme.sh
$ chmod a+x acme.sh
$ ~/acme.sh --issue -d *.changyy.org --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please

如此後續再添加 TXT record 後，在執行

$ ~/acme.sh --renew -d *.changyy.org --dns --yes-I-know-dns-manual-mode-enough-go-ahead-please

就搞定了！剩下的步驟只是覆蓋憑證檔案跟重啟 web server ：

$ grep certificate /etc/nginx/nginx.conf
    ssl_certificate           /usr/syno/etc/certificate/system/default/fullchain.pem;
    ssl_certificate_key       /usr/syno/etc/certificate/system/default/privkey.pem;
$ ls /usr/syno/etc/certificate/system/default/
cert.pem  chain.pem  fullchain.pem  privkey.pem

最後，我把 DNS 擺在 cloudflare 託管，還可以用 API 去處理 DNS TXT Record 更新，連續動作如下：

$ ls ~/.acme.sh/
$ wget https://raw.githubusercontent.com/Neilpang/acme.sh/master/dnsapi/dns_cf.sh -O ~/.acme.sh/dns_cf.sh
$ chmod 755 ~/.acme.sh/dns_cf.sh
$ CF_Key=YOUR_API_KEY_AT_PROFILE CF_Email=YOUR_CLOUDFLARE_EMAIL_ACCOUNT ~/acme.sh --issue --dns dns_cf -d *.changyy.org
$ sudo cp ~/.acme.sh/\*.changyy.org/\*.changyy.org.cer /usr/syno/etc/certificate/system/default/cert.pem
$ sudo cp ~/.acme.sh/\*.changyy.org/\*.changyy.org.key /usr/syno/etc/certificate/system/default/privkey.pem
$ sudo cp ~/.acme.sh/\*.changyy.org/ca.cer /usr/syno/etc/certificate/system/default/chain.pem
$ sudo cp ~/.acme.sh/\*.changyy.org/fullchain.cer /usr/syno/etc/certificate/system/default/fullchain.pem
$ sudo synoservicecfg --restart nginx

如此一來，就可以安排 crontab 用 root 每月跑一次了，另一個好處是可以在 NAS 執行完，再把憑證丟到一些 VPS 維運的機器上

# cat /root/lets-ssl-renew.sh
#!/bin/sh
CF_Key=YOUR_API_KEY_AT_PROFILE CF_Email=YOUR_CLOUDFLARE_EMAIL_ACCOUNT /root/acme.sh --issue --dns dns_cf -d *.changyy.org  && cp /root/.acme.sh/\*.changyy.org/\*.changyy.org.cer /usr/syno/etc/certificate/system/default/cert.pem && cp /root/.acme.sh/\*.changyy.org/\*.changyy.org.key /usr/syno/etc/certificate/system/default/privkey.pem && cp /root/.acme.sh/\*.changyy.org/ca.cer /usr/syno/etc/certificate/system/default/chain.pem && cp /root/.acme.sh/\*.changyy.org/fullchain.cer /usr/syno/etc/certificate/system/default/fullchain.pem && synoservicecfg --restart nginx && echo "SSL-Renew-Done" > /root/ssl-renew.log || echo "SSL-Renew-Failed" > /root/ssl-renew.log
echo date >> /root/ssl-renew.log
張貼者： 於 沒有留言:
標籤： , , , , , , , ,
訂閱： 文章 (Atom)