Posted inHomeLab

Tự xây dựng Private CA với Step-ca: Ngừng bỏ qua các cảnh báo SSL trong HomeLab của bạn

HomeLab tutorial - IT technology blog
HomeLab tutorial - IT technology blog

Vấn đề với SSL trong HomeLab

Hãy ngừng nhấp vào ‘Nâng cao’ (Advanced) và ‘Tiếp tục truy cập’ (Proceed anyway). Nếu HomeLab của bạn đã phát triển lên hơn 10 dịch vụ, việc quản lý các chứng chỉ tự ký (self-signed certificates) hoặc bỏ qua các cảnh báo trình duyệt không chỉ gây phiền nhiễu mà còn là một lỗ hổng bảo mật. Mỗi khi tôi triển khai một bảng điều khiển mới hoặc một máy chủ media như Jellyfin, tôi lại đối mặt với cảnh báo đỏ rực đó. Trong một thời gian dài, tôi đã chấp nhận sự bất tiện này. Nhưng khi lab của tôi mở rộng lên hơn 25 container, khối lượng công việc thủ công đã trở thành một trở ngại lớn.

Bạn có thể thắc mắc tại sao Let’s Encrypt không phải là câu trả lời mặc định. Mặc dù Let’s Encrypt là tiêu chuẩn vàng cho các trang web công khai, nó yêu cầu các bản ghi DNS công khai và thường là một cổng mở để xác thực. Trong môi trường chỉ có mạng cục bộ, việc để lộ hạ tầng nội bộ chỉ để lấy một chứng chỉ là một rủi ro không cần thiết. Việc học cách quản lý hạ tầng khóa công khai (Public Key Infrastructure – PKI) của riêng mình cho phép bạn mô phỏng bảo mật cấp độ sản xuất (production) mà không cần bất kỳ phụ thuộc bên ngoài nào.

Step-ca là gì?

Step-ca (từ Smallstep) là một Certificate Authority (CA) riêng tư, mã nguồn mở. Nó hoạt động như một phiên bản cục bộ của Let’s Encrypt. Vì hỗ trợ giao thức ACME, các máy chủ như Nginx, Caddy hoặc Apache có thể yêu cầu và gia hạn chứng chỉ một cách tự động. Nó cực kỳ nhẹ, thường tiêu thụ ít hơn 120MB RAM. Bạn sẽ có được sự tự động hóa hoàn toàn mà không cần tên miền công khai hay truy cập internet.

Giai đoạn 1: Cài đặt Step CLI và CA

Chạy ứng dụng này trên một máy ảo Linux chuyên dụng hoặc một container Proxmox LXC là cách tiếp cận ổn định nhất. Chúng ta sẽ bắt đầu bằng cách cài đặt step CLI, công cụ quản lý chính cho các chứng chỉ của bạn.

1. Cài đặt Step CLI

wget https://github.com/smallstep/cli/releases/download/v0.28.2/step-cli_0.28.2_amd64.deb
sudo dpkg -i step-cli_0.28.2_amd64.deb

2. Cài đặt Step CA Server

wget https://github.com/smallstep/certificates/releases/download/v0.28.1/step-ca_0.28.1_amd64.deb
sudo dpkg -i step-ca_0.28.1_amd64.deb

Giai đoạn 2: Khởi tạo Private CA của bạn

Quá trình cấu hình bắt đầu bằng việc xác định phân cấp nội bộ của bạn. Bạn cần khởi tạo CA với một cái tên và một địa chỉ DNS cục bộ. Tôi khuyên bạn nên sử dụng một tên miền cục bộ riêng biệt như .internal hoặc .lan để tránh xung đột.

step ca init \
  --name "HomeLab-Root-CA" \
  --provisioner "[email protected]" \
  --dns "ca.lab.internal" \
  --address ":443"

Trình cài đặt sẽ yêu cầu bạn nhập mật khẩu để bảo vệ khóa Root CA. Hãy lưu trữ mật khẩu này an toàn trong trình quản lý mật khẩu. Sau khi hoàn tất, các tệp cấu hình của bạn sẽ nằm trong ~/.step. Theo mặc định, các chứng chỉ gốc (root certificates) này có thời hạn 10 năm, trong khi các chứng chỉ lá (leaf certificates) thường hết hạn sau 24 giờ để khuyến khích việc xoay vòng tự động thường xuyên.

Kích hoạt ACME Provisioner

Mặc định, Step-ca sử dụng hệ thống dựa trên mật khẩu. Để bật tính năng gia hạn tự động giống như Let’s Encrypt, bạn phải kích hoạt ACME provisioner bằng lệnh sau:

step ca provisioner add acme --type ACME

Giai đoạn 3: Chạy Step-ca như một dịch vụ hệ thống

Sự tự động hóa yêu cầu CA phải khởi động ổn định sau khi khởi động lại máy. Chúng ta sẽ sử dụng một dịch vụ systemd để duy trì tiến trình chạy ngầm.

# Tạo tệp dịch vụ
sudo nano /etc/systemd/system/step-ca.service

Sử dụng cấu hình sau, đảm bảo bạn thay thế các đường dẫn bằng tên người dùng thực tế của mình:

[Unit]
Description=Dịch vụ Step-ca
After=network.target

[Service]
User=yourusername
Group=yourusername
ExecStart=/usr/bin/step-ca /home/yourusername/.step/config/ca.json --password-file=/home/yourusername/.step/password.txt
Restart=on-failure

[Install]
WantedBy=multi-user.target

Tạo tệp password.txt chứa mật khẩu CA của bạn và giới hạn quyền truy cập bằng lệnh chmod 600. Mặc dù một số người thích sử dụng biến môi trường, một tệp được giới hạn quyền là phương pháp thiết thực nhất cho thiết lập HomeLab.

Giai đoạn 4: Tin cậy Root Certificate

Các thiết bị của bạn chỉ tin cậy chứng chỉ từ các nguồn mà chúng nhận biết. Bạn phải cài đặt chứng chỉ Root CA trên mọi laptop, điện thoại hoặc máy tính bảng truy cập vào lab của mình. Đây là thiết lập một lần giúp kích hoạt ‘phép màu’ của các biểu tượng ổ khóa xanh.

Tìm chứng chỉ gốc của bạn tại ~/.step/certs/root_ca.crt. Trên máy Linux hoặc macOS, bạn có thể thiết lập mối quan hệ tin cậy ngay lập tức:

step ca bootstrap --ca-url https://ca.lab.internal --fingerprint [YOUR_FINGERPRINT]

Giai đoạn 5: Tích hợp mượt mà với Caddy

Caddy là công cụ được yêu thích trong cộng đồng DevOps vì nó hỗ trợ các ACME CA nội bộ một cách tự nhiên. Tệp Caddyfile của bạn sẽ luôn sạch sẽ và dễ đọc:

# Trỏ Caddy đến CA cục bộ của bạn
{
    acme_ca https://ca.lab.internal/acme/acme/directory
    acme_ca_root /path/to/root_ca.crt
}

proxmox.lab.internal {
    reverse_proxy 192.168.1.10:8006
}

media.lab.internal {
    reverse_proxy 192.168.1.15:8096
}

Giờ đây, Caddy sẽ tự động kết nối với Step-ca, xác minh danh tính qua ACME và lấy chứng chỉ đã ký. Không còn phải gia hạn thủ công sau mỗi 90 ngày. Mọi thứ hoạt động trơn tru.

Lời kết

Xây dựng một Private CA có vẻ hơi quá mức cần thiết đối với một vài dịch vụ. Tuy nhiên, sự an tâm có được hoàn toàn xứng đáng với 20 phút thiết lập. Bạn có được bảo mật cấp doanh nghiệp mà không cần sự phức tạp của các thử thách DNS công khai hay rủi ro từ các chứng chỉ tự ký. Nếu bạn từng mở rộng sang các dịch vụ nhạy cảm như Vaultwarden, nền tảng PKI này sẽ là một bước ngoặt. Hãy theo dõi nhật ký (logs) để xác nhận mọi thứ đều ổn định:

journalctl -u step-ca -f

Bây giờ, hãy bắt đầu mã hóa mọi thứ!

Share:
Tags: