Certbot คืออะไร? วิธีติดตั้ง SSL Certificate ฟรีด้วย Let's Encrypt

# อัปเดตระบบ
sudo apt update && sudo apt upgrade -y

# ติดตั้ง dependencies ที่จำเป็น
sudo apt install -y curl wget git

# ติดตั้ง Certbot
sudo apt install certbot python3-certbot-apache
# สำหรับ Nginx
sudo apt install certbot python3-certbot-nginx

# ติดตั้ง EPEL repository
sudo dnf install epel-release

# ติดตั้ง Certbot
sudo dnf install certbot python3-certbot-apache
# สำหรับ Nginx
sudo dnf install certbot python3-certbot-nginx

# ติดตั้ง snap (ถ้ายังไม่มี)
sudo apt install snapd

# ติดตั้ง Certbot ผ่าน snap
sudo snap install --classic certbot

# สร้าง symbolic link
sudo ln -s /snap/bin/certbot /usr/bin/certbot

# ขอและติดตั้ง Certificate อัตโนมัติ
sudo certbot --apache

# ระบบจะถามข้อมูล:
# 1. Email สำหรับแจ้งเตือน
# 2. ยอมรับ Terms of Service
# 3. เลือกการติดตั้ง HTTP ไปที่ HTTPS
# 4. เลือกโดเมนที่ต้องการ

# ขอและติดตั้ง Certificate อัตโนมัติ
sudo certbot --nginx

# Certbot จะแก้ไข config Nginx โดยอัตโนมัติ

# หยุด web server ชั่วคราว
sudo systemctl stop nginx
# หรือ sudo systemctl stop apache2

# ขอ Certificate แบบ standalone
sudo certbot certonly --standalone -d example.com -d www.example.com

# เริ่ม web server ใหม่
sudo systemctl start nginx
# หรือ sudo systemctl start apache2

# ขอ Wildcard Certificate (ต้องใช้ DNS challenge)
sudo certbot certonly --manual --preferred-challenges dns \
  -d example.com -d *.example.com

# ระบบจะให้สร้าง TXT record ใน DNS ของคุณ

# ทดสอบการต่ออายุ (dry run)
sudo certbot renew --dry-run

# ตรวจสอบว่ามี Certificate ใดใกล้หมดอายุหรือไม่
sudo certbot certificates

# เปิด crontab editor
sudo crontab -e

# เพิ่มบรรทัดนี้ (ทำงานทุกวันเวลา 02:30)
30 2 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"
# สำหรับ Apache
# 30 2 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload apache2"

# สร้าง timer file
sudo nano /etc/systemd/system/certbot.timer

[Unit]
Description=Certbot renewal timer

[Timer]
OnCalendar=daily
RandomizedDelaySec=12h
Persistent=true

[Install]
WantedBy=timers.target

# สร้าง service file
sudo nano /etc/systemd/system/certbot.service

[Unit]
Description=Certbot renewal service

[Service]
Type=oneshot
ExecStart=/usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

# เปิดใช้งาน timer
sudo systemctl enable --now certbot.timer

# ดูรายการ Certificate ทั้งหมด
sudo certbot certificates

# ดูข้อมูล Certificate เฉพาะโดเมน
sudo certbot certificates --cert-name example.com

# ต่ออายุ Certificate ทั้งหมดที่ใกล้หมดอายุ
sudo certbot renew

# บังคับต่ออายุแม้ยังไม่หมด
sudo certbot renew --force-renewal

# ต่ออายุเฉพาะ Certificate ที่ระบุ
sudo certbot renew --cert-name example.com

# ลบ Certificate ที่ไม่ใช้แล้ว
sudo certbot delete --cert-name example.com

# ตรวจสอบว่า domain ชี้มาที่ IP ที่ถูกต้องหรือไม่
nslookup example.com
dig example.com

# ตรวจสอบ port 80 และ 443
telnet example.com 80
telnet example.com 443

# ตรวจสอบ firewall
sudo ufw status
sudo iptables -L

# ตรวจสอบ rate limits
curl https://letsencrypt.org/docs/rate-limits/

# ใช้ staging environment สำหรับทดสอบ
sudo certbot --staging --apache

# แก้ไขสิทธิ์ไฟล์และโฟลเดอร์
sudo chown -R root:root /etc/letsencrypt
sudo chmod 755 /etc/letsencrypt/live
sudo chmod 755 /etc/letsencrypt/archive

# ทดสอบการตั้งค่า Nginx
sudo nginx -t

# ตรวจสอบ error log
sudo tail -f /var/log/nginx/error.log

<VirtualHost *:443>
    ServerName example.com
    DocumentRoot /var/www/html

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
    Include /etc/letsencrypt/options-ssl-apache.conf

    # ปรับปรุงความปลอดภัย
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite HIGH:!aNULL:!MD5
</VirtualHost>

<VirtualHost *:80>
    ServerName example.com
    Redirect permanent / https://$host$request_uri
</VirtualHost>

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name example.com www.example.com;

    root /var/www/html;
    index index.html;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;

    # ปรับปรุงความปลอดภัย
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # เปิด OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;
}