Thông báo quan trọng: Cập nhật chứng chỉ Let’s Encrypt
Ngày cập nhật: 30/01/2019 | Lượt xem: 9.675 | Chuyên mục: Quản trị hệ thống

Nội dung Email Cảnh báo từ Let’s Encrypt
Kính gửi quản trị viên,
Chúng tôi xin thông báo về việc loại bỏ phương thức xác thực TLS-SNI-01 của Let’s Encrypt, ảnh hưởng đến quy trình gia hạn chứng chỉ.

Chi tiết thay đổi:

1. Thời gian ngừng hỗ trợ:

   • 13/02/2019: Ngừng hoạt động tạm thời
   • 13/03/2019: Hủy vĩnh viễn hoàn toàn
     Chứng chỉ đã cấp trước thời hạn vẫn hoạt động trong 90 ngày kể từ ngày phát hành.

2. Hành động cần thực hiện:

   • Nâng cấp ACME client lên phiên bản hỗ trợ các phương thức xác thực thay thế:
     • HTTP-01 (phổ biến nhất)
     • DNS-01 (cho hệ thống không truy cập HTTP)
     • TLS-ALPN-01 (cho máy chủ hỗ trợ TLS mở rộng)
   • Kiểm tra hệ thống bằng môi trường staging:
     `

Quy trình cập nhật trên máy chủ Ubuntu 16.04 (Ví dụ)

Bước 1: Kiểm tra phiên bản Certbot hiện tại

1
2

certbot --version  
# Đầu ra: certbot 0.19.0 → Cần nâng cấp  

Bước 2: Nâng cấp Certbot lên 0.28.0+

1
2
3
4
5

sudo apt update && sudo apt upgrade certbot python-certbot-nginx  
# Chờ 10-15 phút để hoàn tất quy trình cập nhật phức tạp  
# Kiểm tra lại phiên bản  
certbot --version  
# Đầu ra mong đợi: certbot 0.28.0 hoặc cao hơn  

Bước 3: Cấu hình lại phương thức xác thực

1
2
3

# Thay thế TLS-Sni-01 bằng HTTP-01 trong cấu hình  
sudo sh -c "sed -i.bak -e 's/^\(pref_challs.*\)tls-sni-01\(.*\)/\1http-01\2/g' /etc/letsencrypt/renewal/*"  
sudo rm -f /etc/letsencrypt/renewal/*.bak  

Bước 4: Kiểm tra gia hạn giả lập

1
2
3
4
5

sudo certbot renew --dry-run  
# Đầu ra mẫu thành công:  
# - Đang sử dụng thử thách http-01  
# - Gia hạn thành công → /etc/letsencrypt/live/yourdomain.com/fullchain.pem  
# - Đã reload Nginx thành công  

Lưu ý quan trọng:

1. Kiểm tra cấu hình Nginx: Đảm bảo thư mục .well-known/acme-challenge được cấu hình đúng để phục vụ tệp xác thực.
2. Tự động gia hạn: Xác nhận cron job/systemd timer hoạt động ổn định:

   1	systemctl list-timers | grep certbot

3. Theo dõi nhật ký:

   1	tail -f /var/log/letsencrypt/letsencrypt.log

4. Dự phòng: Sao lưu thư mục /etc/letsencrypt trước bất kỳ thay đổi nào.

Nguồn thông tin chi tiết:

• Hướng dẫn cập nhật Certbot: `
• Thông báo chính thức về TLS-SNI-01: `

Kết luận: Việc cập nhật kịp thời giúp tránh gián đoạn dịch vụ do chứng chỉ hết hạn. Đề nghị kiểm tra toàn bộ hệ thống trước thời điểm 13/03/2019.

Trân trọng,
Bộ phận Hỗ trợ Kỹ thuật Let’s Encrypt