Serveur CA LXC Alpine Linux

Ce LXC permet d’héberger une petite autorité de certification locale (CA) pour le réseau interne.

Il sert à :

• signer les certificats TLS des services locaux ;
• distribuer le certificat public de la CA aux machines clientes ;
• centraliser la gestion des certificats ;
• obtenir un HTTPS propre sur le réseau local.

Prérequis

Pour une petite autorité de certification locale, un LXC très léger suffit :

• 1 vCPU
• 512 Mo à 1 Go de RAM
• 2 à 4 Go de disque

Installation

Mise à jour du système :

# apk update && apk upgrade

Installation des paquets nécessaires :

# apk add openssl openssh

Créer un dossier dédié à la CA :

# mkdir -p /etc/local-ca
# chmod 700 /etc/local-ca
# cd /etc/local-ca

Création de la clé privée de la CA :

# openssl genrsa -out local-ca.key 4096
# chmod 600 local-ca.key

Création du certificat public de la CA :

# openssl req -x509 -new -nodes -key local-ca.key -sha256 -days 3650 \
  -out local-ca.crt \
  -subj "/CN=CA-Locale-Homelab"
# chmod 644 local-ca.crt

• La clé privée local-ca.key doit rester sur ce serveur et ne jamais être copiée ailleurs.
• Le certificat public local-ca.crt pourra en revanche être distribué aux machines clientes.