====== Generierung der TLS-Zertifikate für Nextcloud ======

===== Verzeichnisse für die Zertifikate anlegen =====
Bei der Anlage bitte Ihre echte Domain angeben, da diese Teil der Verzeichnisstruktur ist.
<code bash>mkdir -p /etc/letsencrypt/nextcloud.hoeglinger.name/rsa
mkdir -p /etc/letsencrypt/nextcloud.hoeglinger.name/ecdsa
chown -R www-data:www-data /etc/letsencrypt
chmod -R 775 /etc/letsencrypt</code>

===== Den ersten virtuellen Host für nginx erstellen =====
Erstellen des Verzeichnisses für die Let’s Encrypt Challenge:
<code bash>mkdir -p /var/www/letsencrypt/.well-known/acme-challenge
chown -R www-data:www-data /var/www/letsencrypt
chmod -R 775 /var/www/letsencrypt</code>
Anlegen des virtuellen Hosts:
<code bash>nano /etc/nginx/conf.d/HttpGateway.conf</code>
Inhalt des “HTTP-Gateways”:
<code bash>server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name nextcloud.hoeglinger.name;
 
    root /var/www;

    location ^~ /.well-known/acme-challenge {
        default_type text/plain;
        root /var/www/letsencrypt;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}</code>
nginx Selbsttest und Service neu starten:
<code bash>nginx -t
service nginx restart</code>

===== Funktion des Webservers zur Zertifikats-Generierung überprüfen =====
Anlegen einer Text-Datei mit beliebigem Inhalt:
<code bash>echo "Test" >> /var/www/letsencrypt/.well-known/acme-challenge/test.txt</code>
Test-Datei im Browser abrufen:  http://nextcloud.hoeglinger.name/.well-known/acme-challenge/test.txt
Test-Datei nach erfolgreichem Test löschen:
<code bash>rm -f /var/www/letsencrypt/.well-known/acme-challenge/test.txt</code>

===== TLS-Zertifikate für Nextcloud generieren =====
In den Kontext des Users ’letsencrypt’´wechseln:
<code bash>su - letsencrypt</code>
Ausstellen des RSA-Zertifikats:
<code bash>acme.sh --issue -d nextcloud.hoeglinger.name --keylength 4096 -w /var/www/letsencrypt --key-file /etc/letsencrypt/nextcloud.hoeglinger.name/rsa/key.pem --ca-file /etc/letsencrypt/nextcloud.hoeglinger.name/rsa/ca.pem --cert-file /etc/letsencrypt/nextcloud.hoeglinger.name/rsa/cert.pem --fullchain-file /etc/letsencrypt/nextcloud.hoeglinger.name/rsa/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"</code>
Ausstellen des ECDSA-Zertifikats:
<code bash>acme.sh --issue -d nextcloud.hoeglinger.name --keylength ec-384 -w /var/www/letsencrypt --key-file /etc/letsencrypt/nextcloud.hoeglinger.name/ecdsa/key.pem --ca-file /etc/letsencrypt/nextcloud.hoeglinger.name/ecdsa/ca.pem --cert-file /etc/letsencrypt/nextcloud.hoeglinger.name/ecdsa/cert.pem --fullchain-file /etc/letsencrypt/nextcloud.hoeglinger.name/ecdsa/fullchain.pem --reloadcmd "sudo /bin/systemctl reload nginx.service"</code>
Abmelden des Benutzers ’letsencrypt'
<code bash>exit</code>

===== Diffie-Hellman-Parameter generieren =====
Das kann schon mal einige Zeit dauern. Nur Geduld.
<code bash>mkdir -p /etc/nginx/dhparams 
openssl dhparam -out /etc/nginx/dhparams/dhparams.pem 4096</code>