Cài đặt SSL trên DirectAdmin bằng chứng chỉ mua

Để cài đặt SSL trên DirectAdmin bằng chứng chỉ đã mua, bạn bật Secure SSL cho tên miền, vào SSL Certificates, chọn Paste a pre-generated certificate and key rồi dán khoá riêng cùng chứng chỉ vào, sau đó dán chuỗi trung gian ở mục CA Root. Mất khoảng 5 phút.

Bạn làm việc này khi đã cầm trong tay ba tệp từ nhà cấp phát: chứng chỉ CRT, khoá riêng và chuỗi trung gian. Chưa có ba tệp đó thì phải qua khâu xác minh quyền sở hữu tên miền trước, xem hướng dẫn xác thực chứng chỉ SSL.

1. Bật Secure SSL cho tên miền trong Domain Setup.
2. Mở SSL Certificates của tên miền đó.
3. Dán khoá riêng và chứng chỉ vào ô Paste a pre-generated certificate and key.
4. Dán chuỗi trung gian vào mục CA Root Certificate.
5. Mở website bằng HTTPS để kiểm ổ khoá và chuỗi tin cậy.

Đã kiểm trên DirectAdmin 1.6x trở lên. Dán đè chứng chỉ mới lên chứng chỉ đang chạy làm website ngắt HTTPS trong vài giây khi máy chủ nạp lại cấu hình. Làm ngoài giờ cao điểm, và chép nội dung ô cũ ra tệp văn bản trước khi dán đè để còn đường lùi.

Khi nào dùng chứng chỉ mua thay vì chứng chỉ miễn phí tự động

DirectAdmin cho hai đường cài SSL: dán tay chứng chỉ mua ngoài, hoặc bật chứng chỉ Let's Encrypt miễn phí do máy chủ tự xin và tự gia hạn. Cả hai mã hoá đường truyền giống nhau. Khác biệt nằm ở mức thẩm định danh tính, thời hạn và công sức duy trì.

Website bán hàng, cổng thanh toán hoặc trang cần in tên doanh nghiệp trong chứng chỉ thì dùng loại mua. Blog, trang giới thiệu và web nội bộ thì bản miễn phí đủ dùng, cách bật ở bài cài SSL Let's Encrypt trên DirectAdmin.

Ba tệp cần chuẩn bị trước khi dán vào DirectAdmin

Nhà cấp phát gửi về một gói nén hoặc vài khối văn bản. Mở từng tệp bằng trình soạn thảo văn bản thuần như Notepad, đừng mở bằng Word vì Word thêm ký tự định dạng làm hỏng nội dung. Nhận diện từng tệp bằng dòng đầu tiên.

Chứng chỉ tên miền và chuỗi trung gian có dòng đầu giống nhau nên dễ nhầm. Phân biệt bằng tên tệp, và bằng số khối BEGIN CERTIFICATE bên trong: tệp tên miền chỉ có một khối, tệp chuỗi trung gian thường có hai khối trở lên.

Cách bật Secure SSL cho tên miền trên DirectAdmin

Trước khi dán chứng chỉ, tên miền phải được bật chế độ SSL ở cấp cấu hình. Chưa bật thì mục SSL Certificates không nhận nội dung, hoặc nhận rồi mà website vẫn không chạy HTTPS. Bước này chỉ làm một lần cho mỗi tên miền.

1. Chọn tên miền cần cài chứng chỉ

Đăng nhập DirectAdmin ở địa chỉ dạng https://IP_may_chu:2222. Vào danh sách tên miền và chọn tên miền cần bật SSL. Quản lý nhiều tên miền thì kiểm kỹ tên ở góc trên, dán nhầm chứng chỉ sang tên miền khác là cả hai website đều báo lỗi.

2. Tích ô Secure SSL

Trong trang thiết lập tên miền, tích ô Secure SSL. DirectAdmin hỏi cách xử lý thư mục private_html, là thư mục riêng cho nội dung chạy qua HTTPS.

Chọn Use a symbolic link from private_html to public_html, allows for same data in http and https rồi bấm Save. Tuỳ chọn này cho HTTP và HTTPS dùng chung một bộ mã nguồn, hợp với gần như mọi website. Chọn nhầm tuỳ chọn thư mục riêng thì HTTPS trỏ vào thư mục trống và khách thấy trang trắng.

Cách dán chứng chỉ và khoá riêng vào DirectAdmin

Đây là bước chính. Khoá riêng và chứng chỉ dán chung vào một ô, theo đúng thứ tự khoá riêng trước rồi chứng chỉ sau. Chuỗi trung gian dán riêng ở mục khác. Sai thứ tự là DirectAdmin báo lỗi ngay lúc lưu, chưa ảnh hưởng tới website đang chạy.

1. Mở mục SSL Certificates

Từ menu, vào Account Manager rồi chọn SSL Certificates.

2. Dán khoá riêng và chứng chỉ

Chọn Paste a pre-generated certificate and key. Ô văn bản lớn hiện ra. Dán vào theo đúng thứ tự:

1. Toàn bộ nội dung khoá riêng, gồm cả dòng -----BEGIN PRIVATE KEY----- và dòng END.
2. Ngay dưới đó, toàn bộ nội dung chứng chỉ tên miền, cũng gồm cả hai dòng BEGIN và END.

Không để dòng trống giữa hai khối, không để khoảng trắng thừa ở đầu hay cuối dòng. Bấm Save.

Tên miền đang bật Let's Encrypt tự động thì phải tắt tự gia hạn trước khi dán chứng chỉ mua. Không tắt thì lần chạy tác vụ định kỳ kế tiếp sẽ ghi đè chứng chỉ vừa dán, và website quay về chứng chỉ miễn phí mà không có thông báo nào.

3. Dán chuỗi trung gian vào CA Root Certificate

Quay lại trang SSL Certificates, tìm mục CA Root Certificate phía dưới. Tích ô bật mục này, dán toàn bộ nội dung tệp ca-bundle hoặc chain vào rồi bấm Save.

Bước này hay bị bỏ qua vì máy tính vẫn vào website bình thường khi thiếu. Trình duyệt trên máy tính giữ sẵn nhiều chứng chỉ trung gian nên tự vá được chuỗi. Điện thoại và ứng dụng gọi API thì không, chúng báo lỗi chuỗi tin cậy không đầy đủ. Đừng bỏ bước này.

Cách kiểm tra sau khi cài đặt SSL trên DirectAdmin

Mở website bằng địa chỉ có https:// rồi bấm vào biểu tượng ổ khoá trên thanh địa chỉ. Xem ba thứ: tên miền in trong chứng chỉ có trùng tên miền đang mở không, đơn vị cấp có đúng nhà cấp phát bạn mua không, và ngày hết hạn có đúng hạn đơn hàng không.

Kiểm kỹ hơn bằng dòng lệnh nếu máy có OpenSSL. Lệnh dưới đây in ra toàn bộ chuỗi chứng chỉ mà máy chủ gửi về:

openssl s_client -connect ten-mien.com:443 -servername ten-mien.com

Đọc phần Certificate chain ở đầu kết quả. Chuỗi đủ thì có ít nhất hai mục đánh số 0 và 1: mục 0 là chứng chỉ tên miền, mục 1 là trung gian. Chỉ thấy mỗi mục 0 nghĩa là chưa dán chuỗi trung gian, quay lại mục CA Root Certificate.

Cuối kết quả có dòng Verify return code: 0 (ok) là chuỗi tin cậy hoàn chỉnh. Ra mã khác kèm chữ unable to get local issuer certificate cũng là thiếu chuỗi trung gian.

Xử lý các lỗi thường gặp khi cài SSL trên DirectAdmin

Sáu tình huống dưới đây gặp nhiều nhất khi cài đặt SSL trên DirectAdmin. Thông báo của bảng điều khiển thường ngắn, nên nhìn dấu hiệu đi kèm để đoán nguyên nhân.

Báo Certificate and Key do not match. Chứng chỉ không sinh ra từ khoá riêng đang dán. Thường vì tạo CSR hai lần và lấy nhầm khoá của lần trước. Đối chiếu nhanh bằng hai lệnh dưới, hai chuỗi kết quả phải giống hệt nhau:

openssl x509 -noout -modulus -in chungchi.crt | openssl md5
openssl rsa -noout -modulus -in khoa.key | openssl md5

Báo lỗi ngay lúc bấm Save mà không nói rõ. Nội dung dán có ký tự lạ, hay gặp khi chép từ Word hoặc từ thư có định dạng HTML. Mở lại tệp gốc bằng Notepad, chép lại, và kiểm không có dòng trống chen giữa hai khối.

Điện thoại báo lỗi chứng chỉ còn máy tính vào bình thường. Thiếu chuỗi trung gian. Dán tệp ca-bundle vào mục CA Root Certificate.

Website vẫn vào bằng HTTP thường sau khi cài xong. Chứng chỉ chỉ làm HTTPS chạy được, không tự ép chuyển hướng. Bật Force SSL with https redirect trong Domain Setup, hoặc thêm luật chuyển hướng vào .htaccess. Với website WordPress còn phải đổi địa chỉ trong cấu hình, xem cách chuyển từ HTTP sang HTTPS cho WordPress.

Trình duyệt cảnh báo nội dung hỗn hợp dù ổ khoá đã hiện. Trang có ảnh hoặc script gọi bằng địa chỉ http://. Sửa các đường dẫn đó sang https://.

Chứng chỉ vừa dán bỗng biến mất sau vài ngày. Let's Encrypt tự động vẫn đang bật và đã ghi đè. Vào SSL Certificates, tắt tuỳ chọn tự gia hạn rồi dán lại chứng chỉ mua.

Khi nào cần cài lại chứng chỉ

Chứng chỉ mua không tự gia hạn, nên bạn sẽ phải cài đặt SSL trên DirectAdmin lại sau đúng một năm. Ghi ngày hết hạn vào lịch và đặt nhắc trước 30 ngày, vì hết hạn là trình duyệt chặn khách bằng màn cảnh báo đỏ chứ không chỉ mất ổ khoá. Lần gia hạn phải làm lại cả khâu xác minh tên miền lẫn khâu dán chứng chỉ này.

Ba trường hợp khác cũng phải cài lại: khoá riêng bị lộ, thêm tên miền phụ vào chứng chỉ, hoặc chuyển website sang máy chủ mới. Chuyển máy chủ thì mang theo cả ba tệp gốc, dán lại y hệt trên máy mới là xong, không phải mua chứng chỉ khác.

Giữ ba tệp gốc ở nơi có sao lưu. Cách tạo bản sao lưu toàn bộ tài khoản hosting xem ở hướng dẫn sao lưu website trên DirectAdmin.