centOS7へのメールサーバー設定にはこちらを参考にさせていただきました
ほぼ同様の設定を行っていきますので詳細は下記サイトで確認してください。私の環境で若干違う設定の箇所もあるので、覚書きとして記録しておきたいと思います
https://www.rem-system.com/mail-postfix01/
https://www.rem-system.com/mail-postfix02/
https://www.rem-system.com/mail-postfix03/
https://www.rem-system.com/dkim-postfix04/

postfix の設定（配送専用設定）

インストールの確認

yum list installed でpostfix のインストール状態を確認します

$ yum list installed | grep postfix
 postfix.x86_64       2:2.10.1-7.el7                 @base

設定ファイルを自分のドメイン名に合わせる

私の環境では、すでにインストールされていました。
postfix は /etc/postfix/main.cf のファイルで設定しますので、まずは既存のファイルはバックアップとして残しておき編集します
まずは、メールサーバのドメイン名を自分の環境に合わせます

$ sudo cp -p /etc/postfix/main.cf /etc/postfix/main.cf.org
$ sudo vi /etc/postfix/main.cf

・
・
#------- 2019.00.00 kazu
# myhostname = host.domain.tld
# myhostname = virtual.domain.tld
myhostname = mail.hogehoge.com  <-------- ドメイン名を自分に合わせて編集 
　・
　・
#------- 2019.00.00 kazu
# mydomain = domain.tld
mydomain = hogehoge.com       <---------- ドメイン名を自分に合わせて編集 
　・
　・
#------- 2019.00.00 kazu
masquerade_domains = hogehoge.com  <------ ドメイン名を自分に合わせて編集

#inet_interfaces = all  <---------- 他のマシンからも配送するには、allを指定   
#inet_interfaces = $myhostname
#inet_interfaces = $myhostname, localhost
inet_interfaces = localhost  <--------- このサーバからしか配送できない 

設定のチェックと再起動と自動起動設定

# postconf -n
　・
　・
masquerade_domains = hogehoge.com
mydestination = $myhostname, localhost.$mydomain, localhost
mydomain = hogehoge.com
myhostname = mail.hogehoge.com
　・
　・
　・

$ sudo postfix check
       <--------- なにも表示されなければエラーなし

$ suso  systemctl restart postfix  <------- 再起動

$ sudo systemctl status postfix <------- 起動状態の確認

$ sudo systemctl is-enabled postfix
enabled                 <----- enable なら自動起動に設定されている

メール送信の確認

$ mail test@example.com     <---------- 既知のメールアドレスに送信
Subject: Mail delivery test  <--------- 件名
test-test       <-------------- 本文
test
.               <----- 「.」で入力終了し送信
EOT

確認が可能であれば、送信したメールアドレスを確認してください。
サーバーからは、ログファイル「/var/log/maillog」で確認できます
「less」コマンドで、ログを指定すると、内容が表示されます。
キーボードの大文字「G」キーを押すと最終行へジャンプできます。
ログの最後付近に、「status=sent (250…..」があれば送信されています。

$ sudo less /var/log/maillog
　・
　・
......, status=sent (250 2.0.0 ...... Message accepted for delivery)
　・
　・

SPF・メールの送信ドメインの認証

メール配送のSMTPは、任意の差出人に成りすまされるという弱点があるようで、メールサーバによっては認証ができないドメインからのメールは迷惑メールとして処理される事があるようです。
そこで、SPFを設定することで、ある程度送信ドメインを証明する事ができると言う事です。
SPFはDNS側に設定するので、自分でDNSを運用している場合には、DNS側に設定しますが、私の場合はダイナミックDNSサービスの「MyDNS」を利用させてもらっているので、そちらで設定する事になります。
MyDNSへログインし、「DOMAIN INFO」に入り確認したところ、自動的に設定されているようです。

皆さんのサーバーのIPアドレスでSPFレコードを自動的に設定しますので通常は設定は不要です。 

との記述がありました。

Dovecotで送受信できるようにする

次に、受信もできように設定し、外部PCのメーラーからでもメールを受取れるように設定したいと思います

MXレコードの確認

MXレコードも、DNSに設定するので、私の環境では「MyDNS」にログインして確認します

「MX」にはMXレコードの設定をしますが、入力が無い場合には自動的にそのドメイン名自体をMXホストとして設定しますので通常は設定は不要です。 もしドメイン名を途中で変更した場合にはMXの修正を忘れないようにして下さい。 

とあるので、ドメイン名と同じ場合には、自動的に設定されているようですが、私は、「mail.hogehoge.com」と明示的に設定しました。
設定を確認するには、「host」コマンドで確認できます。
「host」コマンドが使用できない場合には「brid-utils」をインストールする必要があります。
「-t mx」オプションでタイプを指定して検索します

$ sudo yum install bind-utils
　・
　・
$ host -t mx hogehoge.com
 hogehoge.com mail is handled by 10 mail.hogehoge.com.

Dovecot のインストールと自動起動設定

$ sudo yum -y install dovecot   <------- インストール

$ yum list installed | grep dovecot 　　　　<---- インストールの確認
  dovecot.x86_64       1:2.2.36-3.el7    @base
  
$ sudo systemctl start dovecot   <--------- 起動
$ sudo systemctl status dovecot  <--------- 起動状態確認
$ sudo systemctl enable dovecot  <--------- 自動起動設定

$ sudo systemctl is-enabled dovecot   <--------- 自動起動の確認
enabled  

Dovecotの設定

POP3/IMAP4のプロトコルを利用。
接続時の認証はLinuxのユーザーアカウントを利用。
POP3/IMAP4接続時のパスワードは平文。
SSLによる暗号化は無し。
SMTP-AUTHの際に認証機能を提供。

今回の設定では、下記ファイルを変更します。
変更前に、現ファイルは、「.org」をつけて残しておくようにします

• /etc/dovecot/dovecot.conf
• /etc/dovecot/conf.d/10-auth.conf
• /etc/dovecot/conf.d/10-mail.conf
• /etc/dovecot/conf.d/10-ssl.conf
• /etc/dovecot/conf.d/10-master.conf

★dovecot.conf 変更
$ cd /etc/dovecot/
$ sudo cp -p dovecot.conf dovecot.conf.org　  <--------バックアップ
$ sudo vi ./dovecot.conf   <----------- 設定ファイル編集

#protocols = imap pop3 lmtp
protocols = imap pop3       <------------ imap pop3 のみに設定

★10-auth.conf 変更
$ cd /etc/dovecot/conf.d/
$ sudo cp -p 10-auth.conf 10-auth.conf.org    <------- バックアップ
$ sudo vi 10-auth.conf　　　　　<----------- 設定ファイル編集

#disable_plaintext_auth = yes
disable_plaintext_auth = no　<----------- 平文認証無効化を無効

#auth_mechanisms = plain
auth_mechanisms = plain login　　<----------- 平文での認証

★10-mail.conf　変更
$ cd /etc/dovecot/conf.d/
$ sudo cp -p 10-mail.conf 10-mail.conf.org  <------ バックアップ
$ sudo vi 10-mail.conf　　　　<----------- 設定ファイル編集

   mail_location = maildir:~/Maildir
#   mail_location = maildir:~/Maildir

★10-ssl.conf 変更
$ cd /etc/dovecot/conf.d/
$ sudo cp -p 10-ssl.conf 10-ssl.conf.org  <----- バックアップ
$ sudo vi ./10-ssl.conf　　<----------- 設定ファイル編集

#ssl = required　　　<----------- SSL の利用
ssl = no　　　　　<----------- SSL の利用

★10-master.conf　変更
$ sudo cp -p 10-master.conf 10-master.conf.org   <--- バックアップ
$ sudo vi ./10-master.conf　　<----------- 設定ファイル編集

 # Postfix smtp-auth
 #unix_listener /var/spool/postfix/private/auth {
   #  mode = 0666
 #}
　　↓ postfix で認証を行う設定にコメントを外して変更
　　↓
 unix_listener /var/spool/postfix/private/auth {
   mode = 0666
   user = postfix
   group = postfix
  }

設定の確認と反映

dovecot 設定の確認は、「doveconf -n」で変更部分を確認できます。
再起動して反映させるには、「systemctl restart dovecot」
状況の確認は「systemctl status dovecot」で「active (running)」の表示で確認できます
狙い通りに、「pop3」と「IMAP」の利用状態は、「netstat -nat」で110番と143番が表示されていれる事で確認できます

$ sudo doveconf -n
$ sudo systemctl restart dovecot
$ sudo systemctl status dovecot
$ netstat -nat

PostfixのSMTP-AUTH設定

dovecot側でのSMTP認証の設定は終了したので、Postfix側の設定に進みます
設定は、/etc/postfix/main.cf で行うので、まずはバックアップを取り編集します。編集する項目は、

• inet_interfaces
• mydestination
• local_recipient_maps
• home_mailbox
• smtpd_banner
• message_size_limit
• SMTP-AUTHの設定追加
  になります

# ----- inet_interfaces
inet_interfaces = all     <---------- local 以外の配送を可
#inet_interfaces = $myhostname
#inet_interfaces = $myhostname, localhost
#inet_interfaces = localhost      <--------------- コメントにする


# -----  mydestination ---- 自分のドメイン宛のメールも受け取り可
#mydestination = $myhostname, localhost.$mydomain, localhost
mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain
#mydestination = $myhostname, localhost.$mydomain, localhost, $mydomain,
#       mail.$mydomain, www.$mydomain, ftp.$mydomain



# ------  local_recipient_maps unixユーザーを許可
local_recipient_maps = unix:passwd.byname $alias_maps
#local_recipient_maps = proxy:unix:passwd.byname $alias_maps
#local_recipient_maps =

# ------  home_mailbox 
#home_mailbox = Mailbox
home_mailbox = Maildir/    <----- 「Maildir」形式 

# -------  smtpd_banner 
#smtpd_banner = $myhostname ESMTP $mail_name
#smtpd_banner = $myhostname ESMTP $mail_name ($mail_version)
smtpd_banner = $myhostname ESMTP  <----- postfix の使用を隠す

# ------ message_size_limit 
### MAIL SIZE
message_size_limit = 20971520 <----------- 任意に設定（20MB)

### SMTP-AUTH　　<------------------- 設定を追加
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = permit_mynetworks
                               permit_sasl_authenticated
                               reject_unauth_destination

/etc/postfix/main.cf 　を保存したら、「postfix check」で構文エラーの確認

OP25B対策

迷惑メール対策で、ほとんどのプロバイダでSMTP接続の２５番ポートがブロックされています
その場合、サブミッションポートと呼ばれる５８７番ポートを利用するのでその設定をしなければいけません
設定は、「/etc/postfix/master.cf」で行うので、いつものように、バックアップをとり、編集します

$ cd /etc/postfix/
 $ sudo cp -p master.cf master.cf.org
 $ sudo vi ./master.cf

   submission inet n   -   n   -   -   smtpd  <---- この設定を有効にする
  
   # 編集したら、保全して、「postfixを再起動」 
$ sudo systemctl restart postfix

   #「netstat -nat」コマンドで５８７番ポートがオープンしていればOK
$ netstat -nat
 Active Internet connections (servers and established)
 Proto Recv-Q Send-Q Local Address           Foreign Address         State
 tcp        0      0 0.0.0.0:587             0.0.0.0:*               LISTEN

ファイアウォールへ接続許可

メールを送受信する場合、
送信用として「SMTP : 25番」「SMTP-Submission : ５８７番」
受信用として「POP3 : 110番」「IMAP$ : 143番」を許可します
現状のファイアウォールの状態は、「firewall-cmd –list-all」で確認できます
また、サービスを追加するには、
「firewall-cmd –zone=public –add-service={___ , ____ , ____}」
「—-permanent」オプションで永続的に設定できますが、ファイアウォールの再ロードが必要になります
「firewall-cmd –reload」

$ sudo firewall-cmd --list-all  <--- 現状の状態を調べる
 public (active)
   target: default
   icmp-block-inversion: no
   interfaces: wlp8s0
   sources:
   services: ssh dhcpv6-client http https   <---- SMTPなどのサービスは無効
　　　・
　　　・
$ sudo firewall-cmd --zone=public --add-service={smtp,smtp-submission,pop3,imap} --permanent
 success     <------------ 追加成功
 $ sudo firewall-cmd --reload
 success   <------- 再ロード
 $ sudo firewall-cmd --list-all   <-------- 状態確認
 public (active)
   target: default
   icmp-block-inversion: no
   interfaces: wlp8s0
   sources:
   services: ssh dhcpv6-client http https smtp smtp-submission pop3 imap

メール送信の確認

メールは、「mail」コマンドで送信できる。
また、「/var/log/maillog」にログが記録される

$ mail hogehoge@nifty.com   <---------　アドレスを指定 
 Subject: test  <---------- 件名
 test-mail1   <------- 本文
 from hogehoge.com to nifty.com
 .      <------------- 「.」が入力されるまで、本文とみなす
 EOT

  これで配送されたはずなので、ログを確認してみます
$ sudo less /var/log/maillog
  ログが出力されますが、最新のログは一番最後になります。
　多い場合には、「G」キーで、最終行に移動できます。
　最終行付近に、「status=sent (delivered to maildir)」があれば
　配送されています

送信できない場合が発生

会社など、外部から通常使っているメーラーで試してみます
すると、届く場合と、届かないアドレスが出てきました
対策としては、自分のメールサーバーから直接の配送でなく、gmail などプロバイダのメールサーバーにリレーしてもらうことで回避できるようです
私の場合、Nifty のアドレスを取得してあるので、そちら経由でするように設定したいと思います
こちらを参考にしました
https://www.walbrix.co.jp/blog/2014-02-gentoo-postfix-relay-gmail.html
https://ufuso.jp/wp/centos-7-0-%E3%81%A7-mail-server%E6%A7%8B%E7%AF%89postfixdovecot/
設定は、リレーしてもらうメールサーバーの認証ファイルを作成し、「/etc/postfix/main.cf」の「smtp_sasl～」パラメータに指定します

Nifty の認証ファイル作成

実施のメーラーに設定する、自分のアカウント名とパスワードを使用して「postmap」コマンドでデータベースを作成します

# echo [smtp.nifty.ne.jp]:587 hogehoge@nifty.ne.jp:「パスワード」 > /etc/postfix/sasl_niftypass
# postmap /etc/postfix/niftypass

Postfix に反映

「/etc/postfix/main.cf」の「smtp_sasl～」パラメータに指定します
パラメータ変数名で、ちょっと注意が必要です
「smtpd_sasl～」と「smtp_sasl～」の二種類があります
「smtpd」 は、外から入ってく来るとき。
「smtp」 は外へ出て行くときの設定のようです
なので、送信の場合は、「smtp_sasl～」の設定になりますね
いつものように、 「/etc/postfix/main.cf」 のバックアップを作成し編集します

relayhost = [smtp.nifty.ne.jp]:587　　<--------- SMTP　サーバを指定

smtp_sasl_auth_enable = yes   <-------- 認証情報を指定
smtp_sasl_password_maps = hash:/etc/postfix/sasl_niftypass
smtp_sasl_security_options = noanonymous
smtp_sasl_mechanism_filter = LOGIN

　　設定を保存

$ sudo postfix check    <---------- 設定ファイルの確認。エラーが出なければOK
$ sudo systemctl restart postfix  <-------- Postfix 再起動
$ sudo systemctl status postfix <-------- 起動状況の確認

●
・
・
　　　　active (running)
「active」が表示されれば、正常に起動している

$ sudo systemctl is-enabled postfix  <----- 起動状態の確認
 enabled

メール送信テスト

$ echo testmail sasl_nifty | mail hogehoge@kaisya.co.jp
   <------------ メールは配送されます。通常のメーラーで配送状況を確認
$ less /var/log/maillog  <-------- サーバーのログ確認
　　　　　　　　　　　　　　<-------- 「G」キーで最終行へ移動。
　　　　　　　　　　　　　　<------- status=sent があれば送信されている

メールの送受信が可能

これで、サーバからの送受信と、外部からでも受信ができるようになりました

自宅でWordPressを動かそう！

またしても、こちらのサイトを参考にさせていただきました
今回も流れはこのサイトに則って作業しますが、自分の環境に合わせて覚書きとして書き残しておきたいと思います

http の場合は、IPアドレスでのアクセスも可能でしたが、https になると「ホスト名」でのアクセスを可能にする必要があるようです。
ちょっと実験してみます。
まずは、メジャーなサイトのIPアドレスを取り出して、そのIPアドレスでアクセスしてみます。
「host」コマンドでゲットできます。
「host」コマンドが利用できない場合には、「bind-utils」をインストールする事で使用できるようになります。

$ host yahoo.co.jp
 yahoo.co.jp has address 182.22.59.229
 yahoo.co.jp has address 183.79.135.206
 yahoo.co.jp mail is handled by 10 mx2.mail.yahoo.co.jp.
 yahoo.co.jp mail is handled by 10 mx1.mail.yahoo.co.jp.
 yahoo.co.jp mail is handled by 10 mx3.mail.yahoo.co.jp.
 yahoo.co.jp mail is handled by 10 mx5.mail.yahoo.co.jp.

２種類でで来ましたが、どちらでもいいと思います
ウェブブラウザのアドレスバーでこのアドレスでアクセスしてみます
「http://182.22.59.229」

保護されていない通信との警告がでて、一部表示できないコンテンツがありますが、とりあえず通常どおりにアクセスできました

次に、「https://182.22.59.229」でアクセスしてみます

正常に表示されません。Chromeは警告をだしました。

次に、ホスト名でアクセスしてみます
「https://yahoo.co.jp」

ホスト名であれば、正常に表示されました。
やはり、自分のサイトを「https」化する場合には、ホスト名でアクセスできるようにしなければいけません。

ホスト名でのアクセスを可能にする

会社などの場合のように、プロバイダに固定IPで契約すれば、ホスト名でアクセスできるように設定された、DNS設定が利用できると思いますが、自宅のような個人でおこなう場合結構費用もかかるので、インターネット接続プロバイダの標準設定で運用したいです。
この場合一番重要なのは、プロバイダからグローバルIPが提供されているか？が問題になってきます
インターネットに出て行く場合には、自宅内のPCにグローバルIPを意識する必要ありませんが、インターネット側から自宅サーバへアクセスするには、グローバルIPが必須となります
自宅は、「auひかり」ですが、だいたいのプロバイダは、グローバルIPが提供されると思います。
ただし、このIPは固定でなくて、動的IPの場合が多いと思います
動的IPの場合突然、IPアドレスが変わってしまう事があるので、動的に対応した設定をしておかなくてはいけません。
ネットで調べると、この動的IPに対応したサービスをしているサイトが見つかります。その中で私は「 https://www.mydns.jp/」を利用させていただいています。
無料で利用できるので、本当感謝です
ここの「JOIN US」のページで登録する事で利用できるようになります
設定がすんだら、「host」コマンドで正常にIPが表示されれば準備完了です

$ host www.hogehoge.com
 www.hogehoge.com has address  183.79.135.206 

ファイアウォールの設定とSSLモジュールの確認

ファイアウォールの確認と設定

ファイアウォールの設定は、「firewall-cmd」を使用します。
「–list-all」のオプションで確認し、「–add-service=https」で追加、「–permanent」で恒久的に反映します。
ただし、 「–permanent」の場合には、 「firewall-cmd」 を再起動させる必要があります

$ sudo firewall-cmd --list-all    <------ 確認
 public (active)
   target: default
   icmp-block-inversion: no
   interfaces: wlp8s0
   sources:
   services: ssh dhcpv6-client http    <--------- https は許可されていない
   ports:
   protocols:
   masquerade: no
   forward-ports:
   source-ports:
   icmp-blocks:
   rich rules:
 $ sudo firewall-cmd --add-service=https --permanent  <- サービスを追加
 success

 $ sudo firewall-cmd --reload   <---------- 再起動
 success

 $ sudo firewall-cmd --list-all  <-------- 再確認
 public (active)
   target: default
   icmp-block-inversion: no
   interfaces: wlp8s0
   sources:
   services: ssh dhcpv6-client http https   <-------- 追加された
   ports:
   protocols:
   masquerade: no
   forward-ports:
   source-ports:
   icmp-blocks:
   rich rules:

SSLモジュールの確認・インストール

前回の apache のインストール でmod_sslもインストールしましたが、再度確認し、もしインストールされていなければ、インストールします。
インストールの確認は、「yum list installed」で、
インストールは「yum install」で、モジュール登録の確認は「httpd -M」で行います

$ sudo yum -y install mod_ssl　　　<----------- とりあえずインストール
 読み込んだプラグイン:fastestmirror, langpacks
 Loading mirror speeds from cached hostfile
 base: ftp.iij.ad.jp
 extras: ftp.iij.ad.jp
 updates: ftp.iij.ad.jp
 パッケージ 1:mod_ssl-2.4.6-89.el7.centos.x86_64 はインストール済みか最新バージョンです
 何もしません 　　　　<---------- 私の環境ではすでにインストール済みでした

 $ yum list installed | grep mod_ssl      <-------- インストール済みの確認
 mod_ssl.x86_64       1:2.4.6-89.el7.centos          @updates

 $ sudo httpd -M | grep ssl   <-------- sslモジュールの登録の確認
  ssl_module (shared)

 $ sudo systemctl restart httpd  <-------- httpd の再起動
 $ sudo systemctl status httpd   <-------- httpd の状態の確認

Let’s Encrypt で証明書をGET！

「https」でssl通信するには、自分のサイトが安全だと言う事を証明してもらわなうてはいけません。
証明書を発行してくれる機関は沢山ありますが、結構いいお値段です。
そんな中で、「Let’s Encrypt」は無料で証明書を発行してくれます。
「Let’s Encrypt」 は、「certbot」というソフトウェアを利用して証明書を発行してくれるシステムなので、まずは「certbot」を動作させる必要があります。
以前私は、「VineLinux」でサーバーを構築していましたが、「 certbot 」に対応していませんでした。
ネットの情報集めて挑戦してみましたが、私のレベルでは断念しました。
それで、対応している、「centOS7」で再構築したのが、このサイトです

certbot のインストール

「 certbot 」のインストール方法は、「Let’s Encrypt総合ポータル」にも情報があります。
centOS7の場合には、 EPEL (Extra Packages for Enterprise Linux) リポジトリからインストールすることができるようです。

$ sudo yum -y install epel-release
$ sudo yum -y install certbot
$ sudo yum -y install python2-certbot-apache

$ yum list installed | grep certbot        <------ インストール済みの確認
 certbot.noarch                0.31.0-2.el7                   @epel
 python2-certbot.noarch        0.31.0-2.el7                   @epel
 python2-certbot-apache.noarch 0.31.0-1.el7                   @epel

$ which certbot <---------- インストール場所の確認 
 /usr/bin/certbot

証明書はインストールした、「certbot」コマンドで発行しますが、発行の方法によりよく使われるプラグインが２つあります
「Standalone」と「Webroot」です

Standalone プラグイン

「Let’s Encrypt 総合ポータル」には、下記のような説明があります
ようするに、Webサーバーが動いていなくても証明書の取得ができるけど、逆に考えると、Webサーバーが動いていると取得できないと言う事です

SSL/TLS サーバ証明書の取得のみを行ないます。
※ドメイン使用権者の認証（Let’s Encrypt のサーバから、証明書を取得するドメイン名を正引きしたIPアドレスに接続することによる認証）の際には、Certbot クライアントに内蔵されている簡易的なウェブサーバが機能が一時的に使われます。
※このプラグインは TCP Port 80 もしくは TCP Port 443 を使うため、当該 Port を Listen している動作中のウェブサーバを一時的に終了させる必要があります。
※当サイトのチュートリアル Let’s Encrypt の使い方 では、このプラグインを使用した Let’s Encrypt 導入方法を解説しています

webroot プラグイン

こちらも「Let’s Encrypt 総合ポータル」に、下記のような説明があります
こちらは、すでにWebサーバーが動いている場合です。
すでに動作しているWebサーバーを停止しなくていもいいが、外部から自宅のWebサーバー（８０番ポート）にアクセスできる必要があります
したがって、サーバーの設定だけでなく、自宅サーバーへの入り口になるルータ（ゲートウェイ）の設定で、８０番ポートをオープンして、対象のWebサーバーと紐付けしておく必要があります

動作中のウェブサーバのドキュメントルートディレクトリ以下に、ドメイン使用権者の認証用のファイルを自動的に設置することにより、SSL/TLS サーバ証明書の取得を行います。
※動作中の httpd（TCP Port 80 や TCP Port 443 など）のサービスを停止させる必要はありません。
※Certbot クライアントを、証明書を取得するドメイン名を運用しているウェブサーバ（DNSの正引きしたIPアドレスのウェブサーバ）で実行する必要があります。また、httpd が動作中である必要があります。

certbot コマンドの実行

いよいよ、証明書を取得してみようと思います。
今の環境では、Webサーバーは動作し、外部からもアクセス可能な状態なので、
「webroot」プラグインを使用します。
また「-w」オプションで、証明書ファイルを保存するディレクトリを指定します
「-d」は証明書を適応するホスト名を指定します

$ sudo certbot certonly --webroot -w /home/www/html/ -d www.hogehoge.com -d hogehoge.com
　・
　・
              対話型で質問が表示されます
Enter email address .......   <--------------- Eメールアドレスを入力
Please read the Terms of Service at ....  <------- 同意するか？(A入力)
Would you be willing to share your email address with the Electronic Frontier
・
・     <------------ メールアドレスを共有するか？　(Y)es　or  (N)o: 

設定が終わりました。
これで、証明書の発行が始まるはずですが・・・・うまくいかな～い！

どうも、ドキュメントルート「/home/www/html」に作成した「index.html」が拒否しているみたい。
「curl」コマンドでリクエストしてみます

$ curl http://localhost/
 <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
 <html><head>
 <title<403 Forbidden</title＞
 </head><body>
 <h1>Forbidden</h1>
 <p>You don't have permission to access /
 on this server.</p>
 </body></html>

たぶん、「SELinux」で、ドキュメントルートとして作成した「/home/www/html」へのアクセスが制限されているみたいです。
せっかく標準で有効になっているので、どうにか使用したいと思いGUI版をインストールしてみました。

$ sudo yum install policycoreutils-gui

GUI環境で設定できそうですが、結局よくわからない
無効にすることにしました。
無効にするには、このGUIでもできますし、「/etc/selinux/config」を編集すればよさそうです

$ cd /etc/selinux/
$ sudo vi ./config
---------------------------------
SELINUX=disabled  <---------------  disabled に設定

設定後は、システムの再起動が必要です
再起動後、再度確認してみます

$ curl http://localhost/
 <html>
   <body>
    home www test page
   </body>
 </html>

     今度は出てきましたので、再度「certbot」実行

$ sudo certbot certonly --webroot -w /home/www/html/ -d www.hogehoge.com -d hogehoge.com

     今度は ”Congratulations!” が出てくれました!
     証明書が自動保存されるディレクトリを確認してみます

$ cd /etc/letsencrypt/
$ ls
accounts  archive  csr  keys  live  renewal  renewal-hooks

あった、あった、「live」の中の、指定ホスト名と同じディレクトリの中に証明書が保存されています。
ファイルを確認するには、rootになる必要があります

SSLサーバ証明書の設定

「/etc/httpd/conf.d」内の「ssl.conf」に証明書ファイルを設定します
とりあえず、現在の「ssl.conf」ファイルは名前を変えて残しておきます

$ cd /etc/httpd/conf.d
$ sudo cp -p ssl.conf ssl.conf.20190502  <---- バックアップしておく
$ sudo vi ./ssl.conf
・
#SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateFile /etc/letsencrypt/live/www.hogehoge.com/cert.pem
・
・
#SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
SSLCertificateKeyFile 
/etc/letsencrypt/live/hogehoge.com/privkey.pem
・
・
#SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt
SSLCertificateChainFile /etc/letsencrypt/live/www.hogehoge.com/chain.pem

　　　保存して確認しますが、「sudo」ではなく「su」でroot になる必要があります
#httpd -t
Syntax OK

$ sudo systemctl restart httpd
$ sudo systemctl status httpd

httpsでアクセスできるかの確認

確認するには、ウェブブラウザで確認しますが、https はIPアドレスではアクセスできません。
ホスト名でアクセスする必要があります。
「https://www.hogehoge.com」
また、外部からのアクセスには、４４３ポートを開放し、サーバと紐づけしておく必要があります

ところが、私の環境では自宅内にサーバがあり、自宅内のPCのブラウザで確認しようとしてもできません。
自宅の環境は、外部のDDNSを使わせていただいているからかもしれません。
外部からなら確認できると思うので、スマホがあれば自宅内の wifi設定を無効にすれば確認できました。
やっぱり、自宅内のWindowsPCからでも確認したい場合には、Widowsの「hosts」を編集します
「C:\Windows\System32\drivers\etc\hosts」

192.168.1.101 hogehoge.com
192.168.1.101 www.hogehoge.com

これで、再度 「https://www.hogehoge.com」 を入力して表示されれば、正常にSSLで通信できています。

証明書更新の確認

更新は、「certbot」の「renew」で行いますが、「–dry-run」をつける事で確認のに行えるようです。

$ sudo certbot renew --dry-run
  これで、「Congratulations, all renewals succeeded.」が表示されれば更新も正常にできるようです。

Let’s Encrypt の証明書は、３か月で更新が必要なので、後日自動更新できるようにも設定してみようと思います

まずは、目標のhttps化が完了

どうには、今回の目標の一つでもある、https化が完了しました。
これから、メールサーバとWordPress の設定をしていきます。

自宅でWordPressを動かそう！