使用 Letsencrypt 为 bip（IRC 代理）生成 SSL 证书答案

【问题标题】：Generate SSL certificate for bip (IRC proxy) with Letsencrypt使用 Letsencrypt 为 bip（IRC 代理）生成 SSL 证书
【发布时间】：2017-03-06 08:21:18
【问题描述】：

Letsencrypt 非常棒，因为它允许用户免费生成有效（非自签名）SSL 证书。我使用bip 作为 IRC 代理。 Bip 可以使用 SSL 证书进行加密，但the documentation 对此有点模糊。

我知道如何使用letsencrypt 生成证书。我想我必须连接一些letsencrypt生成的文件，在cert.pem、chain.pem、fullchain.pemandprivkey.pem`中以获得有效的bip证书。但是哪些？

【问题讨论】：

标签： ssl ssl-certificate irc lets-encrypt

【解决方案1】：

如果您询问如何配置 bip 以使用 Let's Encrypt 证书，以便客户端可以通过 SSL 连接到它，文档提供以下内容：

client_side_ssl (default: false)
  When true, clients will need to connect to BIP using SSL. You'll also need to
  generate a    SSL cert/key pair in <bipdir>/bip.pem (usually ~/.bip/bip.pem or
  /var/lib/bip/bip.pem) or <client_side_ssl_pem> if defined.

client_side_ssl_pem (default: <bipdir>/bip.pem)
  Set this to the full path of the cert/key pair bip should use to accept clients
  SSL connections

因此，据我所知，您将需要 cat privkey.pem cert.pem > bip.pem 并启用 client_side_ssl 并将 client_side_ssl_pem 指向 bip.pem（如果它不在指定位置之一）。

我认为您不需要添加 CA 链，因为 Let's Encrypt 是受信任的 CA，并且客户端应该能够自己重建链。如果不是这样，您也可以将chain.pem 添加到bip.pem。

我还在这里找到了一个方便的指南：https://flexion.org/posts/2014-04-bip-irc-proxy/

【讨论】：

太好了，它有效！但是，当我将cert.pem 替换为fullchain.pem 时，它也起作用。如果我理解正确the docs 最好使用fullchain.pem，对吧？
是的，fullchain.pem 应该包含所有必要的证书，从叶子到根，并允许客户端为您的证书构建完整的信任链。