Как да активирате TLS 1.3 в Apache на FreeBSD 12

TLS 1.3 е версия на протокола за сигурност на транспортния слой (TLS), който беше публикуван през 2018 г. като предложен стандарт в RFC 8446 . Той предлага подобрения в сигурността и производителността спрямо своите предшественици.

Това ръководство ще демонстрира как да активирате TLS 1.3 с помощта на уеб сървъра на Apache на FreeBSD 12.

Изисквания

• Vultr Cloud Compute (VC2) екземпляр, работещ с FreeBSD 12.
• Валидно име на домейн и конфигурирани правилно A/ AAAA/ CNAMEDNS записите за домейна.
• Валиден TLS сертификат. Ще получим такъв от Let's Encrypt.
• Версия на Apache 2.4.36или по- нова .
• OpenSSL версия 1.1.1или по- нова .

Преди да започнеш

Проверете версията на FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Уверете се, че вашата FreeBSD система е актуална.

freebsd-update fetch install
pkg update && pkg upgrade -y

Инсталирайте необходимите пакети, ако те не присъстват във вашата система.

pkg install -y sudo vim unzip wget bash socat git

Създайте нов потребителски акаунт с предпочитаното от вас потребителско име (ние ще използваме johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Изпълнете visudoкомандата и разкоментирайте %wheel ALL=(ALL) ALLреда, за да позволите на членовете на wheelгрупата да изпълнят всяка команда.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Сега превключете към новосъздадения си потребител с su.

su - johndoe

ЗАБЕЛЕЖКА: Заменете johndoeс вашето потребителско име.

Настройте часовата зона.

sudo tzsetup

Инсталирайте acme.shклиента и получете TLS сертификат от Let's Encrypt

Инсталирайте acme.sh.

sudo pkg install -y acme.sh

Проверете версията.

acme.sh --version
# v2.7.9

Вземете RSA и ECDSA сертификати за вашия домейн.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ЗАБЕЛЕЖКА: Заменете example.comв командите с името на вашия домейн.

Създайте разумни директории, в които да съхранявате вашите сертификати и ключове. Ние ще използваме /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Инсталирайте и копирайте сертификати в /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

След като изпълните горните команди, вашите сертификати и ключове ще бъдат на следните места:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Инсталирайте Apache

Apache добави поддръжка за TLS 1.3 във версия 2.4.36. Системата FreeBSD 12 идва с Apache и OpenSSL, които поддържат TLS 1.3 от кутията, така че няма нужда да създавате персонализирана версия.

Изтеглете и инсталирайте най-новия клон 2.4 на Apache чрез pkgмениджъра на пакети.

sudo pkg install -y apache24

Проверете версията.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Стартирайте и активирайте Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Конфигурирайте Apache за TLS 1.3

След като успешно инсталирахме Apache, ние сме готови да го конфигурираме да започне да използва TLS 1.3 на нашия сървър.

ЗАБЕЛЕЖКА: Във FreeBSD mod_sslмодулът е активиран по подразбиране както в пакета, така и в порта

Стартирайте sudo vim /usr/local/etc/apache24/httpd.confи включете SSL модула, като декомментирате LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Изпълнете sudo vim /usr/local/etc/apache24/Includes/example.com.confи попълнете файла със следната основна конфигурация.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Запазете файла и излезте с :+ W+ Q.

Проверете конфигурацията.

sudo service apache24 configtest

Презаредете Apache.

sudo service apache24 reload

Отворете сайта си чрез HTTPS протокол във вашия уеб браузър. За да потвърдите TLS 1.3, можете да използвате инструменти за разработка на браузъра или услугата SSL Labs. Екранните снимки по-долу показват раздела за сигурност на Chrome с TLS 1.3 в действие.

Успешно активирахте TLS 1.3 в Apache на вашия FreeBSD сървър. Окончателната версия на TLS 1.3 беше дефинирана през август 2018 г., така че няма по-добър момент да започнете да приемате тази нова технология.