bin/make-cert, bin/fix-cert-chain: Hack certificate chains for compatiblity.

Oh, this is a mess.

https://community.letsencrypt.org/t/openssl-client-compatibility-changes-for-let-s-encrypt-certificates/143816

Old versions of Android don't recognize the new Let's Encrypt issuer.
So LE deployed a kludge: their certificate chains include a reference to
their old issuer, which /is/ recognized by old Android versions.  But
there's a problem: this issuer /expired/ yesterday, and old versions of
OpenSSL and GnuTLS reject certificate bundles involving expired issuers,
even if (a) the expired certificate is in the cert store, not provided
by the server, and (b) there's a perfectly fine trust path which doesn't
involve the duff certificate.

Introduce a new script `fix-cert-chain' to generally tidy up certificate
chains by (a) deleting duplicate certificates and (b) removing
certificates from `bad' issuers.

dehydrated-config.sh: Set contact email address.

bin/setup: Fix now that we use `dehydrated'.

Inhibit IPv6, in an attempt to prevent `urn:acme:error:badNonce' reports.

Switch to running dehydrated.

It's packaged by Debian and seems much less disastrous.  Simplify much
of the machinery.

bin/reissue: Fix swallowing of nonzero exit status.

bin/: Fix preamble to handle invocation through a symlink.

This depends on GNU coreutils readlink(1), but I think we can live
with that.

bin/reissue: New script to reissue certificates before they expire.

bin/setup: Install the necessary Debian packages.

bin/make-cert, le-root.cert: Actually make certificates.

Amazingly, it all works.

lib/lib.sh: Sanitize the tag when making a temporary directory.

The configuration-file reader is terrible and doesn't cope with values
which contain `#'.

bin/setup: The `cert' directory doesn't need to be group-writable.

The administrator makes directories within it, which should be mode 2775.

lib/lib.sh, bin/make-cert: Fix usage message handling.

Make the separating space be the script's responsibility.  Actually
include a usage message in `make-cert'.

move more config into the script

Early commit for testing elsewhere.