VestaCP es uno de los hostings libres y gratuitos mejor valorados del momento. La interfaz que utiliza es muy intuitiva y da bastantes opciones para configurar. Es verdad que no está a la altura de CPanel o Plesk pero para las funciones del día a día vale de sobra. Se pueden hacer backups, configurar quotas, configurar DNS, manejar las cuentas de correo, firewall, tareas… Y luego hay scripts hechos para añadir funciones extras como la de utilizar certificados de letsencrypt.

Instalación

Instalar curl y git

apt install curl git

Descargar el script de instalación

curl -O http://vestacp.com/pub/vst-install.sh

Dar permisos de ejecución

chmod +x vst-install.sh

Ejecutar script

bash vst-install.sh --apache yes --nginx no --vsftpd yes --mysql yes --exim yes --dovecot yes --clamav yes --spamassassin yes --iptables yes --fail2ban yes --quota yes --lang es --named no --proftpd no --postgresql no

Una vez hecho esto, no preguntará el nombre del host y el correo y configurará todo. Mandará un correo con las credenciales y las sacará por la terminal también. Para acceder, hay que ir a la URL:

https://<Dominio | IP >:8083

Letsencrypt

Ir a la carpeta /usr/local/

cd /usr/local

Clonar los repositorios necesarios

git clone https://github.com/certbot/certbot.git
git clone https://github.com/interbrite/letsencrypt-vesta.git

Crear la carpeta webroot que es donde letsencrypt comprobará los dominios

mkdir -p /etc/letsencrypt/webroot

Crear enlaces simbólicos para poder ejecutar los scripts

ln -s /usr/local/certbot/certbot-auto /usr/local/bin/certbot-auto
ln -s /usr/local/letsencrypt-vesta/letsencrypt-vesta /usr/local/bin/letsencrypt-vesta

Apache

Crear el archivo de configuración de letsencrypt para cuando se vayan a crear los certificados, apache se pare

ln -s /usr/local/letsencrypt-vesta/letsencrypt.conf /etc/apache2/conf-enabled/lesencrypt.conf
ln -s /usr/local/letsencrypt-vesta/letsencrypt.conf /etc/apache2/conf.d/lesencrypt.conf

Reiniciar apache

systemctl restart apache2

Ahora, es necesario instalar at para poder actualizar los certificados automáticamente

apt install at

Y habilitar para el inicio de sistema e iniciarlo

systemctl enable atd
systemctl start atd

Por último, para crear un certificado hay que lanzarlo de la siguiente manera. Lo voy a lanzar con at para que se cree una tarea que cada 60 días actualice el certificado automáticamente.
Nota: cuidado con los Alias que si no tienen un DNS apuntando fallará.

letsencrypt-vesta -a 60 ichasco blog.ichasco.com

Y con esto ya estarían los certificados. La primera vez que se lanza tardará un poco mas ya que instala todos los paquetes necesarios

Si se quiere actualizar el script, hay que ir a la carpeta /usr/local/letsencrypt-vesta y ejecutar:

git pull origin master

Nginx

En nginx es un poco diferente, porque hay que habilitarlo directamente desde las plantillas. Y si se ha creado ya el site, hay que habilitarlo en la configuración de estos.

Editar las plantillas

vim /usr/local/vesta/data/templates/web/nginx/default.stpl

vim /usr/local/vesta/data/templates/web/nginx/default.tpl

Y añadir esto en las 2 plantillas

 location /.well-known/acme-challenge {
 default_type text/plain;
 root /etc/letsencrypt/webroot;
 }

Por último reiniciar nginx

systemctl restart nginx.service

En nginx hay un apartado en el site SSL que autocrea los certificados letsencryp. Por lo tanto lo de abajo no haría falta.

Forzar que apache vaya por HTTPS

Una vez conseguidos los certificados, lo ideal es forzar a apache para que todo el trafico vaya por HTTPS. Para ello hay que habilitar el módulo rewrite y editar la plantilla.

Apache

Habilitar el modulo rewrite

a2enmod rewrite

Editar la plantilla

vim /usr/local/vesta/data/templates/web/apache2/default.tpl

Y añadir

Redirect permanent / https://%domain_idn%/

Por último, reiniciar apache

systemctl restart apache2

Luego es interesante hacer un hardening del servidor web. Para esto, hay un tutorial aquí

Nginx

Editar el archivo de configuración de nginx de los sites

vim /etc/nginx/sites-available/default

Y añadir

server {
...
    if ($scheme = http) {
        return 301 https://$server_name$request_uri;
    }
...
}

Reiniciar nginx

systemctl restart nginx.service

Migración de un site

Servidor antiguo

Ir al directorio de scripts de vesta

cd /usr/local/vesta/bin

Hacer un backup de la configuración actual del usuario que se quiere migrar

./v-backup-user usuario

Servidor nuevo

Pasar el backup desde la máquina antigua a la nueva
Nota: crear la carpeta /backup si no estuviese creada ya

scp root@servidorantiguo:/backup/usuario.fechas.tar /backup/

Ir a la carpeta de los scripts de vesta

cd /usr/local/vesta/bin

Restaurar el backup

./v-restore-user usuario usuario.fecha.tar

Si se quiere restaurar el backup con otro usuario, hay que cambiar el nombre

mv /backup/usuarioantiguo.fecha.tar /backup/usuarionuevo.fecha.tar

Y realizar la restauración

./v-restore-user usuarionuevo usuarionuevo.fecha.tar

 Cambiar los certificados de Vesta

Cuando se instala vesta, por defecto añade unos certificados propios al mail y al panel de control. Para cambiar esto hay que generar unos nuevos certificados y hacer lo siguiente.

Generar certificados mail

Generar los certificados para el correo y rellenar con los campos correctos
Nota: Los certificados deben alojarse en: /usr/local/vesta/ssl/

/usr/bin/openssl req -x509 -sha256 -days 9000 -nodes -newkey rsa:4096 -keyout /usr/local/vesta/ssl/mail.key -out /usr/local/vesta/ssl/mail.crt

Cambiar los permisos de los certificados

chown root:mail /usr/local/vesta/ssl/mail.*
chmod 660/usr/local/vesta/ssl/mail.*

Editar el archivo de configuración de exim4  y cambiar los certificados por los nuevos

vim /etc/exim4/exim4.conf.template

tls_certificate = /usr/local/vesta/ssl/mail.crt
tls_privatekey = /usr/local/vesta/ssl/mail.key

Reiniciar exim4

/etc/init.d/exim4 restart

Editar el archivo de configuración de dovecot y cambiar los certificados por los nuevos

vim etc/dovecot/conf.d/10-ssl.conf

ssl_cert = </usr/local/vesta/ssl/mail.crt
ssl_key = </usr/local/vesta/ssl/mail.key

Reiniciar dovecot

/etc/init.d/dovecot restart