Как да активирате TLS 1.3 в Apache на Debian 10

• Изисквания
• Преди да започнеш
• Инсталирайте клиента acme.sh и получете TLS сертификат от Let's Encrypt
• Инсталирайте Apache
• Конфигурирайте Apache за TLS 1.3

TLS 1.3 е версия на протокола за сигурност на транспортния слой (TLS), който беше публикуван през 2018 г. като предложен стандарт в RFC 8446. Той предлага подобрения в сигурността и производителността спрямо своите предшественици.

Това ръководство ще демонстрира как да активирате TLS 1.3 с помощта на уеб сървъра на Apache на Debian 10.

Изисквания

• Vultr Cloud Compute (VC2) екземпляр, работещ с Debian 10 (Buster).
• Валидно име на домейн и конфигурирани правилно A/ AAAA/ CNAMEDNS записите за домейна.
• Валиден TLS сертификат. Ще получим такъв от Let's Encrypt.
• Версия на Apache 2.4.36или по- нова .
• OpenSSL версия 1.1.1или по- нова .

Преди да започнеш

Проверете версията на Debian.

lsb_release -ds # Debian GNU/Linux 10 (buster)

Създайте нов non-rootпотребителски акаунт с sudoдостъп и превключете към него.

adduser johndoe --gecos "John Doe" usermod -aG sudo johndoe su - johndoe

ЗАБЕЛЕЖКА : Заменете johndoeс вашето потребителско име .

Настройте часовата зона.

sudo dpkg-reconfigure tzdata

Уверете се, че вашата система е актуална.

sudo apt update && sudo apt upgrade -y

Инсталирайте необходимите пакети.

sudo apt install -y zip unzip curl wget git socat

Инсталирайте acme.shклиента и получете TLS сертификат от Let's Encrypt

Инсталирайте acme.sh.

sudo mkdir /etc/letsencrypt git clone https://github.com/Neilpang/acme.sh.git cd acme.sh sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com cd ~ source ~/.bashrc

Проверете версията.

/etc/letsencrypt/acme.sh --version # v2.8.2

Вземете RSA и ECDSA сертификати за вашия домейн.

# RSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048 # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ЗАБЕЛЕЖКА: Заменете example.comв командите с името на вашия домейн.

Създайте разумни директории, в които да съхранявате вашите сертификати и ключове. Ние ще използваме /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com sudo mkdir -p /etc/letsencrypt/example.com_ecc

Инсталирайте и копирайте сертификати в /etc/letsencrypt.

# RSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

След като изпълните горните команди, вашите сертификати и ключове ще бъдат на следните места:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Инсталирайте Apache

Apache добави поддръжка за TLS 1.3 във версия 2.4.36. Системата Debian 10 идва с Apache и OpenSSL, които поддържат TLS 1.3 от кутията, така че няма нужда да създавате персонализирана версия.

Изтеглете и инсталирайте най-новия клон 2.4 на Apache чрез aptмениджъра на пакети.

sudo apt install -y apache2

Проверете версията.

sudo apache2 -v # Server version: Apache/2.4.38 (Debian) # Server built: 2019-04-07T18:15:40

Конфигурирайте Apache за TLS 1.3

След като успешно инсталирахме Apache, ние сме готови да го конфигурираме да започне да използва TLS 1.3 на нашия сървър.

Първо, активирайте SSL модула.

sudo a2enmod ssl

Рестартирайте Apache.

sudo systemctl restart apache2

Изпълнете sudo vim /etc/apache2/sites-available/example.com.confи попълнете файла със следната основна конфигурация.

<IfModule mod_ssl.c> <VirtualHost *:443> ServerName example.com SSLEngine on SSLProtocol all -SSLv2 -SSLv3 # RSA SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key" # ECC SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key" </VirtualHost> </IfModule>

Запазете файла и излезте.

Активирайте новия конфигурационен файл, като свържете файла с sites-enabledдиректорията.

sudo a2ensite example.com.conf

Проверете конфигурацията.

sudo apachectl configtest

Презаредете Apache.

sudo systemctl reload apache2

Отворете сайта си чрез HTTPS протокол във вашия уеб браузър. За да потвърдите TLS 1.3, можете да използвате инструменти за разработка на браузъра или услугата SSL Labs. Екранните снимки по-долу показват раздела за сигурност на Chrome с TLS 1.3 в действие.

Успешно активирахте TLS 1.3 в Apache на вашия Debian 10 сървър. Окончателната версия на TLS 1.3 беше дефинирана през август 2018 г., така че няма по-добър момент да започнете да приемате тази нова технология.