Доменное Имя и Получение Сертификата для доменного имени (нашего сайта) Keenetic

Вкратце в начале что такое:
доменное имя - это индивидуальное имя сайта в интернете, которое состоит из букв, цифр и символов. (простыми словами, «название» сайта.)

Назначение доменного имени — облегчать доступ к сайтам в сети Интернет.
По домену можно зайти на сайт или найти его в поисковой системе

Более понятный пример сравнения Телефонная книжка в ней у нас есть номера телефонов они связаны с именем владельца данного номера телефона. Тут у нас есть белый IP-адрес например IPv4 87.236.16.25 а имя у данного IP задано diyit.ru, проще работать с именами чем запоминать набор цифр тем более если это IPv6.
Только в телефонную книжку Имя заносится бесплатно, а тут получение белого IP адреса у провайдера (ежемесячно) стоит денег и получение доменного имени стоит денег и каждый год его продление.

Так же существуют подуровни доменных имен.

Доменное имя состоит из нескольких частей, разделённых точками. Эти части образуют иерархическую структуру, в которой уровни доменов перечисляются справа налево.

Нулевой уровень (корневой домен) — это невидимая часть в конце любого доменного имени, которая играет ключевую роль в системе DNS. Он является основой, с которой начинаются все остальные уровни доменов.

Первый уровень (TLD, Top-Level Domain) — это последняя часть адреса, которая идёт после точки (например, .com или .ru). TLD указывает на глобальную зону, в которой зарегистрирован сайт, будь то страна или тип организации.

Второй уровень (SLD, Second Level Domain) — это уникальное название сайта внутри домена верхнего уровня. Например, в адресе selectel.ru домен второго уровня — selectel. Этот уровень используется компаниями, брендами и частными лицами для создания уникальных адресов сайтов.

Третий уровень также известен как под домен. Он может использоваться для создания отдельных частей сайта, таких как блоги, региональные или мобильные версии сайтов. Пример: в адресе my.selectel.ru домен третьего уровня — my

: Уровни доменного имени

Бывают и бесплатные доменные имя от 3-го уровня, в данном случае вы не будете собственником доменного имени.

Можно получить доменное имя 2-го уровня и на основе его сделать необходимое количество своих подуровней.

Как работает отправляем запрос Доменного имени к DNS например 8.8.8.8 он ищет на всех уровнях соответствие доменного имени к IP адресу, как только соответствие найдено возвращается IP адрес и соединение устанавливается.
Аналогично с номером телефона, мы ищем по имени в телефонной книге, при вызове видим имя а набор идет цифирного номера телефона.

Более подробно можно почитать в интернете есть множество статьей на эту тему.

На KEENETIC можно получить доменное имя от 3-го уровня даже при сером IP-адресе
Сетевые правила > Доменное имя
https://имя.keenetic.pro/

Доступ к роутеру http(s) можно получить из: домашней сети по IP локальной сети, по белому IP-адресу роутера, доменному имени роутера - это основные варианты (можно через собственный VPN, другой созданной подсети выдать доступ и множество других вариантов)

4-мы уровнем можно задать имя для устройств или внутренних сервисов.

: Keenetic KeenDNS

Где хранятся сертификаты доменного имени keenetic.pro на роутере?
/etc/ssl/certs/
/etc/ssl/certshashed/
/usr/share/ca-certificates
/var/nginx/certs

Сертификаты: /tmp/nginx/certs/ДОМЕН.keenetic.pro.certs.pem
Приватный ключ: /tmp/nginx/certs/ДОМЕН.keenetic.pro.key.pem
SSL-сертификат выпускается CDN-центром сертификации Let's Encrypt индивидуально для конкретного домена xxx.keenetic.pro \ .link \ .name службы KeenDNS, поэтому использовать для сервисов не представляется возможным - скачать или расшифровать сертификат нельзя.

Но если у вас есть поддержка открытых пакетов OPKG Entware,
то там есть возможность использовать отдельно службу ACME
https://bin.entware.net/armv7sf-k3.2/ua ... v7-3.2.ipk
или
поднять свой NGINX с возможностью работы certbot
https://certbot.eff.org/all-instructions
https://forum.keenetic.net/topic/145-ве ... -кинетике/ с бесплатным получение \ продлением сертификатов.

Перед этим не забудьте освободить TCP\80, который по умолчанию слушает веб-сервер роутера.

: 80-порт для Lets Encrypt

Для того чтобы дать доступ к вашим сервисам на роутере не обходимо разрешить подключение к порту через интернет
Настраиваем правила в межсетевом экране
Пример

: Межсетевой экран

Некоторые Стандартные порты keenetic
22 ssh sftp
21 ftp
161 - snmp
162 - snmp trap
445 TCP/UDP SMB
4022 TCP UDP-прокси IPTV через HTTP-соединение
51413 порт пиров Torrent-клиент
8090 tcp управление Torrent-клиент
8200 tcp DLNA

Для теста и экспериментов я не буду использовать доменное имя Keenetic, а буду использовать 3 уровень своего доменного имени для экспериментов test.diyit.ru
Пример настройки на хостинге beget

: Третий уровень доменного имени для белого IP-адреса роутера

Для указания порта в DNS-записях вы можете использовать запись SRV (Service) вместо записи A (для IPv4) или AAAA (для IPv6).
Запись SRV позволяет указать сервис, порт и префикс домена для конкретного хоста.
Пример записи SRV:
_имя-сервиса._протокол.имя-домена TTL класс SRV приоритет вес порт цель.
Где:
_имя-сервиса/_service: это сервис, который будет использоваться (например, http, ftp и т.д.).
_протокол/_proto: это протокол, по которому будет работать сервис (например, _tcp, _udp).
имя-домена/name: это ваш домен или поддомен.
приоритет/priority: это приоритет записи SRV (обычно чем ниже число 0, тем выше приоритет).
вес/weight: это вес записи SRV (используется для балансировки нагрузки).
порт/port: это номер порта, который нужно открыть для данного сервиса.
цель/traget: это домен или IP-адрес, куда должен быть направлен сервис.
Пример записи SRV для указания порта 8080 для сервиса HTTP на поддомене ***.diyit.ru:

_http._tcp.***.diyit.ru. IN SRV 0 5 8080 aam.diyit.ru.
После внесения изменений в DNS-записи, не забудьте сохранить их и дождаться распространения изменений,
что может занять некоторое время.

При желании можно получить доменное имя 2 уровня для своего белого IP-адреса.
использовать бесплатный KeenDNS или DDNS либо другой любой сервис зависит от ваших задач и хотелок.

Доменное имя для нашего белого IP мы получили дальше нам нужно для этого имени получить сертификаты есть варианты платные на определенное время и есть бесплатный вариант.

Получение Сертификатов

Let's Encrypt - сертификационный центр, который выдает бесплатные SSL (TLS) сертификаты. Проект был поддержан большим числом IT-компаний, в связи с чем, выданные сертификаты поддерживаются многими операционными системами (есть доверие к центру сертификации). Начало работы — декабрь 2015 года. Официальный сайт — letsencrypt.org.

Ключи выдаются сроком на 90 дней. Есть возможность получить сертификат как в ручном режиме, так и автоматическом (с помощью утилиты certboot). Штатно, процесс получения реализован на системах UNIX, а под Windows есть неофициальная утилита, которая также позволит получить и/или обновить сертификат. Во время установки сертификата для домена, центр Let’s Encrypt проверяет, что мы являемся легитимным владельцем последнего — для этого выполняется http-запрос к сгенерированному файлу на нашем веб-сервере и если он может обработать такой запрос, значит мы имеем право на использование домена.

Область применения данных сертификатов такая же, как у платных, например, для веб-серверов Nginx и Apache или для почтовой системы. Запрашивать ключи необходимо для указанных явно доменов (можно несколько в одном сертификате) или для всех поддоменов (Wildcard).

На текущий момент накоплено много положительных примеров использования данного сертификата. По отзывам, из минусов отмечены:

Маленький период действия (хорошо, что есть возможность автоматического продления).
Неудобный метод автоматического продления сертификатов Wildcard.
Не работает для Ipv6.
Плюсы:
Бесплатно.
Высокая степень защиты.
Подробнее о Let's Encrypt на Википедии и

Примеры получения инструкции:
Сertbot Apache on Linux
Как получить сертификат Let's Encrypt
Получение бесплатного SSL сертификата Let's Encrypt
Хабрахабре Let's Encrypt: получение сертификата по шагам.

Установка будет в Debian mips x86 для apache

Сперва я пробовал по инструкции

Показать

Сразу скажу почему не вышло.
Так как эта инструкция не рекомендует установку apt-get я пробовал поставить как описано выше но на урезанную операционку Debian-mips x86 никак не хотело ставится не выполнялись зависимости, компиляция исходников make так же упиралась все дальше в другие зависимости пакетов которых нет в репозитории mips.

Apache on Linux (snap)
Certbot snap поддерживает архитектуры x86_64, ARMv7 и ARMv8. Хотя мы настоятельно рекомендуем большинству пользователей устанавливать Certbot через snap, вы можете найти альтернативные инструкции по установке здесь .

Удалить certbot-auto и все пакеты ОС Certbot
Если у вас установлены какие-либо пакеты Certbot с помощью менеджера пакетов ОС, например apt, dnf, или yum, вам следует удалить их перед установкой Certbot snap, чтобы гарантировать, что при запуске команды certbot будет использоваться snap, а не установка из менеджера пакетов ОС. Точная команда для этого зависит от вашей ОС, но распространенными примерами являются apt-get remove certbot, dnf remove certbot или yum remove certbot.

Установить Certbot
snap install --classic certbot
ln -s /snap/bin/certbot /usr/bin/certbot
certbot --apache
certbot certonly --apache
certbot renew --dry-run

Еще инструкция
Apache на Linux (pip)

1.SSH-подключение к серверу
Подключитесь по протоколу SSH к серверу, на котором запущен ваш HTTP-сайт, как пользователь с привилегиями sudo или root.

2.Установить системные зависимости
Системные зависимости могут включать Python 3.6+, включая модуль venv и плагин Augeas для Apache.

Если у вас возникли проблемы с установкой криптографии, вам может потребоваться установить дополнительные зависимости. Для получения дополнительной информации посетите сайт проекта криптографии .

Команды для установки системных зависимостей могут выглядеть следующим образом, их можно запустить в командной строке на компьютере.

Для дистрибутивов на основе APT (например, Debian, Ubuntu ...):