Mikrotik.moscow [тема: Обновление сертификата Let's Encrypt] http://mikrotik.moscow Новое в теме Обновление сертификата Let's Encrypt форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 03:18:07 -0400 Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Port knocking и TCP SYN остановят сканеры. Для устранения неполадок — да, вы правы. Честно говоря, если настройка используется в рабочей среде, почему бы не применить ZeroTier или Tailscale? Если нет, то то, что сейчас предлагает Mikrotik, более чем достаточно для дома или лаборатории.
09.02.2022 05:35:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426146 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426146 Wed, 09 Feb 2022 05:35:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Безопасность за счёт скрытности — это не настоящая безопасность. Менять порт — это что-то из 90-х. Сканеры портов всё равно их найдут. Запоминать новые номера портов, когда пытаешься понять, почему что-то не работает, просто добавляет лишний и бесполезный уровень в поиск проблемы. У меня дома через VPN выделен /26, все порты открыты для моего домашнего сервера, но я ещё и занимаюсь оборудованием в колокации. Держи всё просто, но безопасно. Я надеялся, что интеграция Let’s Encrypt в RouterOS упростит жизнь, но нет... Возвращаемся к старым методам. Я всё ещё надеюсь на встроенный LE, но пока это не готово. Пока лучше просто сделать перенаправление порта TCP 80 на другую машину.
09.02.2022 05:20:00, kevinds.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426145 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426145 Wed, 09 Feb 2022 05:20:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Я бы изменил любой доступный порт (у меня проблемы с доверием :d). VPN — это был завершающий штрих. Большинство домашних провайдеров блокируют порт 22, так что...
09.02.2022 05:07:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426144 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426144 Wed, 09 Feb 2022 05:07:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
О, я в курсе, но смена порта почти ничего не меняет. Его всё равно находят, публикуют и атакуют. Если для доступа к SSH всё равно нужен VPN, то какой смысл менять порт, если он и так за VPN? Лично я, если мне нужно зайти по SSH, скорее всего, делаю это, чтобы понять, почему сломался VPN. Наши приватные ключи максимально защищены, у всех админов есть ключи. Я оставляю порт 22 открытым для всего мира на наших системах, потому что если у тебя нет наших логинов, физически не получен ключ и PIN для его разблокировки, всё безопасно. Я доверяю SSH-демону больше, чем любому другому сервису, который у нас работает. Как я уже говорил, блокируем после x попыток входа по SSH, чтобы просто не засорять логи. А вот требование открыть веб-конфигурацию для работы Let’s Encrypt — это просто неправильно, надеялся, что где-то ошибся.
09.02.2022 04:53:00, kevinds.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426143 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426143 Wed, 09 Feb 2022 04:53:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
SSH и Webfig — это разные вещи. Порт Webfig нельзя поменять на другой, кроме 80, из-за работы с SSL. Но SSH можно без проблем перевести на любой случайный порт, используя публичный ключ на MT и приватный ключ на SSH терминале клиента. Ограничьте доступ к SSH-порту по исходящему адресу локального VPN — тогда защита будет максимальной.
09.02.2022 04:38:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426142 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426142 Wed, 09 Feb 2022 04:38:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Я в курсе... Просто раздражает... Я использую ключи только для SSH, так что никто не будет пытаться взломать это перебором, но порт TCP 22 открыт для всего мира. Я «отключаю» после х попыток, чтобы логи оставались чистыми и я не пропустил что-то действительно важное.
09.02.2022 04:05:00, kevinds.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426141 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426141 Wed, 09 Feb 2022 04:05:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Большинство неудачных попыток входа связано с ботами. Я добавил несколько правил для файрвола: port knocking, TCP syn и ICMP. После этого я больше не получал никаких записей о неудачных входах через Webfig. Учтите, что мои VPS в основном расположены на Hetzner, и их постоянно атакуют боты весь день напролёт.
09.02.2022 03:48:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426140 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426140 Wed, 09 Feb 2022 03:48:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Я снова настроил переадресацию порта 80 и использую скрипт acme.sh с хук-скриптом deploy для RouterOS. Веб-конфигурацию тоже не использую, разве что для экстренного доступа, да и то очень ограниченно. Даже если больше никогда не будет новых уязвимостей 0-day, держать этот сервис открытым для всего мира, где постоянно возникают неудачные попытки входа — это раздражает в логах.
09.02.2022 03:39:00, kevinds.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426139 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426139 Wed, 09 Feb 2022 03:39:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Можно разрешать и запрещать доступ к порту 80 всего на несколько секунд во время обновления сертификата с помощью скрипта и планировщика заданий. Я никогда не использовал Webfig для управления, и до внедрения Let’s Encrypt порт всегда был отключён, даже в локальной сети. Думаю, лучший вариант — использовать метод проверки challenge. Хотя я не уверен, как будет работать проверка через DNS для DDNS, это, конечно, вариант для кастомного DNS с доменным именем.  
https://letsencrypt.org/docs/challenge-types/  
https://community.letsencrypt.org/t/dns-providers-who-easily-integrate-with-lets-encrypt-dns-validation/86438
09.02.2022 03:24:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426138 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426138 Wed, 09 Feb 2022 03:24:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Это моя самая большая претензия к этому. У меня есть список “разрешённых” IP/сервисов, чтобы блокировать попытки входа, но это также мешает LE проходить проверку. Эта функция была бы гораздо лучше, если бы позволяла проводить проверку вызова с любого адреса, при этом допуская загрузку административных страниц только с белого списка диапазонов. Если я что-то упускаю, надеюсь, что да.
08.02.2022 17:48:00, kevinds.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426137 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426137 Tue, 08 Feb 2022 17:48:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Пока MikroTik не решит нормально задокументировать эту функцию (и, скорее всего, сделать для неё удобный интерфейс), самый простой способ — регулярно самостоятельно запускать команду /certificate enable-ssl-certificate dns-name=xy через планировщик. Примерно раз в 30 дней — хороший интервал, это задолго до фактического истечения срока действия, но и при этом вы не будете слишком часто обновлять и «нагружать» серверы LE. Что делает ROS — так это переименовывает существующий сертификат, поэтому все сервисы, к которым был привязан сертификат (api-ssl, www-ssl, sstp и другие), автоматически обновляются на новый. Главное — после продления, судя по всему, никаких дополнительных действий не требуется.
02.01.2022 13:07:00, graealex.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426136 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426136 Sun, 02 Jan 2022 13:07:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Порт 80 необходим для проверки сертификата.
31.12.2021 17:15:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426135 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426135 Fri, 31 Dec 2021 17:15:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
+1 По моему мнению, самое простое решение — выделить отдельный порт для обновления сертификатов и WebFig. Кажется, LetsEncrypt требует использование портов 80 или 443 (точно не уверен).
31.12.2021 17:02:00, olivier2831.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426134 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426134 Fri, 31 Dec 2021 17:02:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Я точно не уверен, является ли Web-Fig веб-сервером или отдельной службой. Возможно, это всего лишь функция включения/отключения Web-Fig. Меня не смущает порт 80, если через него не могут войти в систему.
28.12.2021 17:11:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426133 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426133 Tue, 28 Dec 2021 17:11:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Клиенты LE обычно обновляют сертификаты, когда до их истечения остается меньше 30 дней, поэтому, скорее всего, RouterOS будет использовать то же время (или другое, но тоже фиксированное). Можно написать скрипт, который будет проверять срок действия сертификата, заранее немного открывать доступ к веб-интерфейсу, а затем снова его закрывать после обновления сертификата. Это отчаянное решение, но если не хочется держать веб открытым постоянно, оно может сгодиться, пока не появится что-то лучшее, например возможность запускать пользовательские скрипты у LE клиента прямо в нужный момент.
28.12.2021 01:58:00, Sob.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426132 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426132 Tue, 28 Dec 2021 01:58:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
100% Согласен Пользователь добавил изображение
28.12.2021 00:39:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426131 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426131 Tue, 28 Dec 2021 00:39:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Согласно документации MikroTik, там как-то реализовано автоматическое обновление.. но проблема в том, что для этого нужно держать веб-интерфейс открытым постоянно, ведь неизвестно, когда именно произойдут эти обновления. Намного удобнее использовать скрипт, потому что тогда порт 80 можно будет открывать только на время обновления, а потом снова закрывать.
26.12.2021 21:41:00, mducharme.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426130 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426130 Sun, 26 Dec 2021 21:41:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Но мне также нужна команда для обновления сертификата. Я еще хотел бы понять, какого рода поддержку вы предоставляете.
26.12.2021 18:08:00, duronus.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426129 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426129 Sun, 26 Dec 2021 18:08:00 -0500 RouterOS Обновление сертификата Let's Encrypt Обновление сертификата Let's Encrypt RouterOS в форуме RouterOS.
Здравствуйте, уважаемые, я использую RouterOS 7.1rc5 и очень рад, что он поддерживает сертификаты Let’s Encrypt. Вопрос такой — как правильно обновлять сертификат?

2 K    ET name="letsencrypt-autogen_2021-06-24T00:05:32Z" issuer=C=US,O=Let's Encrypt,CN=R3 digest-algorithm=sha256 key-type=rsa common-name="hq.zalyan.net"  
          key-size=2048 subject-alt-name=DNS:hq.zalyan.net days-valid=89 trusted=yes key-usage=digital-signature,key-encipherment,tls-server,tls-client  
          serial-number="04210D8651E5580AE0977354CB3E16569FE5" fingerprint="86bf48e4bb6489bd475c6dab933276951643d3ac20027ea­00d1dd8ab95559ff6"  
          akid=142eb317b75856cbae500940e61faf9d8b14c2c6 skid=d2a428a2cb7c4aafaf3c0ad6f70820cccada0333 invalid-before=jun/24/2021 06:05:30  
          invalid-after=sep/22/2021 06:05:29  
         
[kost@hq.zalyan.net-NEW] > /certificate/enable-ssl-certificate dns-name=hq.zalyan.net
 progress: [success] ssl certificate updated
          invalid-after=sep/22/2021 06:05:29  
     
2 K    ET name="letsencrypt-autogen_2021-10-31T05:00:43Z" issuer=C=US,O=Let's Encrypt,CN=R3 digest-algorithm=sha256 key-type=rsa common-name="hq.zalyan.net"  
          key-size=2048 subject-alt-name=DNS:hq.zalyan.net days-valid=89 trusted=yes key-usage=digital-signature,key-encipherment,tls-server,tls-client  
          serial-number="04210D8651E5580AE0977354CB3E16569FE5" fingerprint="86bf48e4bb6489bd475c6dab933276951643d3ac20027ea­00d1dd8ab95559ff6"  
          akid=142eb317b75856cbae500940e61faf9d8b14c2c6 skid=d2a428a2cb7c4aafaf3c0ad6f70820cccada0333 invalid-before=jun/24/2021 06:05:30  
          invalid-after=sep/22/2021 06:05:29  

Как видите, имя сертификата меняется, но даты — нет! Конечно, всё работает, если сначала удалить старый, а потом выполнить enable-ssl-certificate, но мне это кажется странным. Это задуманный сценарий или какой-то мелкий баг? Было бы здорово иметь одну команду для обновления сертификата, на мой взгляд.

Заранее спасибо, с уважением, Константин
31.10.2021 05:14:00, zarianu.]]> http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426128 http://mikrotik.moscow/forum/forum57/88366-obnovlenie-sertifikata-let_s-encrypt/message426128 Sun, 31 Oct 2021 05:14:00 -0400 RouterOS