Как да активирате TLS 1.3 в Apache на Fedora 30

• Изисквания
• Преди да започнеш
• Инсталирайте клиента acme.sh и получете TLS сертификат от Let's Encrypt
• Инсталирайте Apache
• Конфигурирайте Apache за TLS 1.3

TLS 1.3 е версия на протокола за сигурност на транспортния слой (TLS), който беше публикуван през 2018 г. като предложен стандарт в RFC 8446. Той предлага подобрения в сигурността и производителността спрямо своите предшественици.

Това ръководство ще демонстрира как да активирате TLS 1.3 с помощта на уеб сървъра на Apache на Fedora 30.

Изисквания

• Vultr Cloud Compute (VC2) екземпляр, работещ с Fedora 30.
• Валидно име на домейн и конфигурирани правилно A/ AAAA/ CNAMEDNS записите за домейна.
• Валиден TLS сертификат. Ще получим такъв от Let's Encrypt.
• Версия на Apache 2.4.36или по- нова .
• OpenSSL версия 1.1.1или по- нова .

Преди да започнеш

Проверете версията на Fedora.

cat /etc/fedora-release # Fedora release 30 (Thirty)

Създайте нов non-rootпотребителски акаунт с sudoдостъп и превключете към него.

useradd -c "John Doe" johndoe && passwd johndoe usermod -aG wheel johndoe su - johndoe

ЗАБЕЛЕЖКА: Заменете johndoeс вашето потребителско име.

Настройте часовата зона.

timedatectl list-timezones sudo timedatectl set-timezone 'Region/City'

Уверете се, че вашата система е актуална.

sudo dnf check-upgrade || sudo dnf upgrade -y

Инсталирайте необходимите пакети.

sudo dnf install -y socat git

Деактивирайте SELinux и защитната стена.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Инсталирайте acme.shклиента и получете TLS сертификат от Let's Encrypt

Инсталирайте acme.sh.

sudo mkdir /etc/letsencrypt git clone https://github.com/Neilpang/acme.sh.git cd acme.sh sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com cd ~ source ~/.bashrc

Проверете версията.

/etc/letsencrypt/acme.sh --version # v2.8.2

Вземете RSA и ECDSA сертификати за вашия домейн.

# RSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048 # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ЗАБЕЛЕЖКА: Заменете example.comв командите с името на вашия домейн.

Създайте разумни директории, в които да съхранявате вашите сертификати и ключове. Ние ще използваме /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com sudo mkdir -p /etc/letsencrypt/example.com_ecc

Инсталирайте и копирайте сертификати в /etc/letsencrypt.

# RSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

След като изпълните горните команди, вашите сертификати и ключове ще бъдат на следните места:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Инсталирайте Apache

Apache добави поддръжка за TLS 1.3 във версия 2.4.36. Системата Fedora 30 идва с Apache и OpenSSL, които поддържат TLS 1.3 от кутията, така че няма нужда да създавате персонализирана версия.

Изтеглете и инсталирайте най-новия клон 2.4 на Apache и неговия модул за SSL чрез dnfмениджъра на пакети.

sudo dnf install -y httpd mod_ssl

Проверете версията.

sudo httpd -v # Server version: Apache/2.4.39 (Fedora) # Server built: May 2 2019 14:50:28

Стартирайте и активирайте Apache.

sudo systemctl start httpd.service sudo systemctl enable httpd.service

Конфигурирайте Apache за TLS 1.3

След като успешно инсталирахме Apache, ние сме готови да го конфигурираме да започне да използва TLS 1.3 на нашия сървър.

Изпълнете sudo vim /etc/httpd/conf.d/example.com.confи попълнете файла със следната основна конфигурация.

<IfModule mod_ssl.c> <VirtualHost *:443> ServerName example.com SSLEngine on SSLProtocol all -SSLv2 -SSLv3 # RSA SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key" # ECC SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key" </VirtualHost> </IfModule>

Запазете файла и излезте.

Проверете конфигурацията.

sudo apachectl configtest

Презаредете Apache, за да активирате новата конфигурация.

sudo systemctl reload httpd.service

Отворете сайта си чрез HTTPS протокол във вашия уеб браузър. За да потвърдите TLS 1.3, можете да използвате инструменти за разработка на браузъра или услугата SSL Labs. Екранните снимки по-долу показват раздела за сигурност на Chrome с TLS 1.3 в действие.

Успешно активирахте TLS 1.3 в Apache на вашия Fedora 30 сървър. Окончателната версия на TLS 1.3 беше дефинирана през август 2018 г., така че няма по-добър момент да започнете да приемате тази нова технология.