FlashPanel

SSL ​

FlashPanel hỗ trợ cấp chứng chỉ SSL miễn phí từ Let's Encrypt, ZeroSSL, Cloudflare và cài chứng chỉ bạn đã mua ở nơi khác cho trang web. Mở mục SSL ở menu của trang web để bắt đầu. Trang gồm hai phần: Cài đặt chứng chỉ (các cách cài) và Danh sách chứng chỉ (các chứng chỉ của trang web).

Let's Encrypt ​

Let's Encrypt cung cấp chứng chỉ SSL miễn phí được công nhận trên tất cả các trình duyệt chính.

FlashPanel tự động gia hạn chứng chỉ Let's Encrypt khi còn 21 ngày trở xuống trước khi hết hạn. Việc gia hạn chạy vào một thời điểm ngẫu nhiên trong ngày để tránh gây quá tải cho máy chủ Let's Encrypt. Bạn cũng có thể gia hạn thủ công tại Danh sách chứng chỉ.

Các bước cài đặt chứng chỉ Let's Encrypt:

  1. Tại mục SSL của trang web, chọn thẻ Let's Encrypt (Free)
  2. Kiểm tra danh sách tên miền: mỗi dòng hiển thị tên miền, IP mà tên miền đang trỏ tới và biểu tượng tích xanh nếu trỏ đúng về máy chủ. Tên miền phải trỏ về máy chủ thì mới cấp được chứng chỉ
  3. (Tùy chọn) Đánh dấu Tự động kích hoạt chứng chỉ sau khi cài đặt
  4. Bấm Cài đặt Let's Encrypt

TIP

Nếu tên miền dùng DNS của Cloudflare và bật proxy (đám mây màu cam), kết quả kiểm tra trỏ tên miền có thể không chính xác.

WARNING

Do cơ chế gia hạn của Let's Encrypt, không thể sao chép chứng chỉ Let's Encrypt sang trang web khác. Hãy cấp chứng chỉ Let's Encrypt mới cho trang web đó.

ZeroSSL ​

ZeroSSL là nhà cung cấp chứng chỉ SSL miễn phí, được các trình duyệt phổ biến công nhận.

Các bước tương tự Let's Encrypt (chọn thẻ ZeroSSL (Free)). FlashPanel đăng ký với ZeroSSL bằng email của chủ trang web, bạn không cần tạo tài khoản ZeroSSL trước. Chứng chỉ ZeroSSL cũng được tự động gia hạn như Let's Encrypt.

SSL cho địa chỉ IP ​

FlashPanel hỗ trợ cấp chứng chỉ SSL miễn phí cho địa chỉ IP của máy chủ (cả IPv4 và IPv6) thông qua Let's Encrypt. Tính năng này hữu ích khi bạn cần truy cập máy chủ hoặc API qua HTTPS khi chưa có tên miền. Để dùng, hãy tạo trang web với tên miền là địa chỉ IP của máy chủ, sau đó cài chứng chỉ Let's Encrypt như bình thường.

  • Gia hạn: Chứng chỉ cho địa chỉ IP có thời hạn rất ngắn (khoảng 6 ngày), vì vậy FlashPanel tự động gia hạn khi chứng chỉ còn 4 ngày (96 giờ) trở xuống.
  • Yêu cầu: Cổng 80 phải mở để Let's Encrypt xác thực.

Cloudflare ​

Nếu tên miền đang dùng DNS của Cloudflare, FlashPanel có thể tự động tạo và cài chứng chỉ Cloudflare Origin thời hạn 15 năm, không cần gia hạn định kỳ như Let's Encrypt hoặc ZeroSSL.

Yêu cầu:

  • Bạn đã thêm thông tin xác thực Cloudflare vào FlashPanel và tên miền thuộc tài khoản Cloudflare đó. Xem Kết nối nhà cung cấp DNS. API key cần có quyền SSL and Certificate.
  • Chứng chỉ chỉ hỗ trợ tên miền gốc hoặc tên miền phụ cấp một (ví dụ domain.com, app.domain.com).

Các bước cài đặt:

  1. Tại mục SSL của trang web, chọn thẻ Cloudflare
  2. Bấm Cài đặt Cloudflare

TIP

Chứng chỉ Cloudflare Origin chỉ được trình duyệt tin cậy khi truy cập đi qua proxy của Cloudflare. Trên Cloudflare, bật proxy cho bản ghi DNS và đặt chế độ mã hóa SSL/TLS là Full hoặc Full (strict).

Tạo Signing Request (CSR) ​

CSR (Certificate Signing Request) là đoạn văn bản được mã hóa, tạo ra trên máy chủ sẽ cài SSL, chứa thông tin của chứng chỉ như tên miền, tổ chức, địa phương và quốc gia. Dùng CSR khi bạn mua chứng chỉ trả phí: tạo CSR rồi gửi cho nhà cung cấp SSL để họ cấp chứng chỉ.

  1. Tại mục SSL, chọn Tạo Signing Request (CSR)
  2. Nhập các trường Tên miền, Quốc gia, Tỉnh/Bang, Thành phố, Tổ chức, Chuyên ngành, Lĩnh vực
  3. Bấm Gửi

CSR mới xuất hiện trong Danh sách chứng chỉ. Bấm biểu tượng con mắt ở cột CSR để xem và sao chép nội dung CSR gửi cho nhà cung cấp. Khi nhận được chứng chỉ, bấm Cài đặt chứng chỉ ở dòng tương ứng, dán nội dung chứng chỉ rồi bấm Cài đặt chứng chỉ.

Cài đặt chứng chỉ hiện có ​

Nếu bạn đã có khóa riêng tư và chứng chỉ từ một dịch vụ khác, bạn có thể cài trực tiếp cho trang web.

  1. Tại mục SSL, chọn Cài đặt chứng chỉ hiện có
  2. Dán nội dung chứng chỉ vào trường Certificate và khóa riêng tư vào trường Private Key
  3. (Tùy chọn) Đánh dấu Tự động kích hoạt chứng chỉ sau khi cài đặt
  4. Bấm Cài đặt chứng chỉ hiện có

Sao chép chứng chỉ ​

Bạn có thể sao chép một chứng chỉ đã cài trên các máy chủ FlashPanel của bạn sang trang web này, ví dụ khi dùng chung chứng chỉ wildcard cho nhiều trang web.

  1. Tại mục SSL, chọn Sao chép chứng chỉ
  2. Chọn chứng chỉ cần sao chép (có thể đánh dấu Tự động kích hoạt chứng chỉ sau khi sao chép)
  3. Bấm Sao chép chứng chỉ

Quản lý chứng chỉ SSL ​

Bảng Danh sách chứng chỉ hiển thị các chứng chỉ của trang web. Tại đây bạn có thể:

  • Bấm Gia hạn và kích hoạt để gia hạn thủ công chứng chỉ miễn phí (Let's Encrypt, ZeroSSL). Chứng chỉ khác hiển thị trạng thái Đã cài đặt
  • Bật/tắt công tắc ở cột Trạng thái để kích hoạt hoặc hủy kích hoạt chứng chỉ (Đã kích hoạt / Chưa kích hoạt)
  • Bấm biểu tượng xóa ở cột Hành động để xóa chứng chỉ

Cài thủ công chứng chỉ Cloudflare Origin ​

Nếu không muốn kết nối API Cloudflare với FlashPanel, bạn có thể tự tạo chứng chỉ Cloudflare Origin (miễn phí, thời hạn tối đa 15 năm) rồi cài bằng tính năng Cài đặt chứng chỉ hiện có.

  1. Trên trang quản trị Cloudflare, chọn tên miền > SSL/TLS và đặt chế độ mã hóa thành Full
  2. Mở SSL/TLS > Origin Server, bấm Create Certificate
  3. Giữ các tùy chọn mặc định (định dạng khóa PEM) và bấm Create. Cloudflare hiển thị hai khung: Origin Certificate và Private Key. Hãy sao chép cả hai ngay, vì Cloudflare không hiển thị lại khóa riêng tư sau khi bạn rời trang
  4. Quay lại FlashPanel > mục SSL > chọn Cài đặt chứng chỉ hiện có
  5. Dán nội dung Origin Certificate vào trường Certificate và nội dung Private Key vào trường Private Key
  6. Bấm Cài đặt chứng chỉ hiện có

Khắc phục sự cố ​

Timeout during connect (likely firewall problem) ​

Cài chứng chỉ Let's Encrypt thất bại với lỗi:

text
Fetching http://domain.com/.well-known/acme-challenge/xxxx: Timeout during connect (likely firewall problem)

Để xác minh bạn sở hữu tên miền, Let's Encrypt kết nối tới máy chủ qua HTTP ở cổng 80. Kết nối bị hết thời gian chờ, nghĩa là có thứ gì đó ở giữa đang chặn. Mục Giải pháp trong chi tiết sự kiện sẽ dẫn tới phần này.

  1. Tường lửa của nhà cung cấp (security group, cloud firewall): cho phép kết nối TCP vào cổng 80 từ mọi địa chỉ (0.0.0.0/0, và ::/0 cho IPv6). Với AWS Lightsail, xem Mở cổng trên AWS Lightsail.
  2. Tường lửa của máy chủ: trong trang Quy tắc tường lửa của máy chủ, kiểm tra cổng 80 đang được cho phép.
  3. Bản ghi DNS: tên miền phải trỏ về máy chủ này (danh sách tên miền ở trang SSL hiện dấu tích xanh). Nếu tên miền có thêm bản ghi AAAA (IPv6), Let's Encrypt sẽ thử IPv6 trước: hãy đảm bảo bản ghi đó trỏ đúng địa chỉ IPv6 của máy chủ, hoặc xoá nó đi.

Sau đó cài lại chứng chỉ.

DNS problem: NXDOMAIN ​

Cài hoặc gia hạn chứng chỉ Let's Encrypt thất bại với lỗi:

text
DNS problem: NXDOMAIN looking up A for domain.com - check that a DNS record exists for this domain

NXDOMAIN nghĩa là DNS trả lời tên miền không tồn tại, nên Let's Encrypt không tìm được máy chủ để xác minh. Mã 400 đi kèm chỉ là mã trạng thái phản hồi của Let's Encrypt; nguyên nhân nằm ở DNS của tên miền, không phải ở máy chủ. Lỗi ghi rõ tên miền nào không phân giải được (ví dụ www.domain.com). Mục Giải pháp trong chi tiết sự kiện sẽ dẫn tới phần này.

Lỗi này cũng có thể xuất hiện khi gia hạn tự động một chứng chỉ trước đó vẫn chạy bình thường, thường do tên miền vừa bị tạm ngưng hoặc hết hạn. Kiểm tra lần lượt:

  1. Trạng thái tên miền: tra WHOIS (ví dụ tại lookup.icann.org) và xem dòng Domain Status. Nếu có clientHold hoặc serverHold, nhà đăng ký đã gỡ tên miền khỏi DNS. Nguyên nhân thường gặp: chưa xác minh email chủ sở hữu tên miền, chưa thanh toán hoặc bị khoá do báo cáo lạm dụng. Hãy liên hệ nhà đăng ký để gỡ khoá.
  2. Hạn sử dụng: kiểm tra ngày hết hạn (Registry Expiry Date) và gia hạn tên miền nếu cần.
  3. Nameserver: nameserver khai báo tại nhà đăng ký phải là nơi bạn quản lý bản ghi DNS.
  4. Bản ghi DNS: tạo bản ghi A trỏ về IP của máy chủ (và AAAA nếu dùng IPv6) cho đúng tên miền được nêu trong lỗi.

Sau khi sửa, đợi DNS cập nhật (thường vài phút, có thể lâu hơn tùy TTL) rồi cài lại chứng chỉ. Danh sách tên miền ở trang SSL hiện dấu tích xanh là đã sẵn sàng.

TIP

Chạy dig +short domain.com A hoặc dùng dnschecker.org để kiểm tra nhanh. Không có kết quả nghĩa là tên miền chưa phân giải được.

Nếu không còn dùng tên miền, hãy xoá chứng chỉ hoặc trang web để dừng gia hạn tự động.

Lỗi SSL khi dùng Cloudflare ​

Nếu tên miền đi qua Cloudflare và trình duyệt báo lỗi SSL, hoặc Cloudflare báo lỗi 525 hay 526, hãy kiểm tra hai thiết lập trên trang quản trị Cloudflare:

  1. Chế độ mã hoá: mở SSL/TLS > Overview và chọn Full (strict). Chế độ này yêu cầu máy chủ có chứng chỉ hợp lệ: hãy cài chứng chỉ miễn phí (Let's Encrypt, ZeroSSL) hoặc chứng chỉ Cloudflare Origin trước.
  2. Trạng thái proxy: mở DNS > Records và tìm bản ghi A hoặc CNAME của tên miền. Đám mây màu xám (DNS only) nghĩa là truy cập đi thẳng tới máy chủ mà không qua Cloudflare, nên chứng chỉ của Cloudflare không được dùng. Bấm vào đám mây để chuyển sang màu cam (Proxied).

Xoá bộ nhớ đệm trình duyệt rồi mở lại website.