Sådan aktiveres TLS 1.3 i Apache på FreeBSD 12

TLS 1.3 er en version af TLS-protokollen (Transport Layer Security), der blev offentliggjort i 2018 som en foreslået standard i RFC 8446 . Det tilbyder sikkerhed og ydeevneforbedringer i forhold til sine forgængere.

Denne vejledning vil demonstrere, hvordan du aktiverer TLS 1.3 ved hjælp af Apache-webserveren på FreeBSD 12.

Krav

• Vultr Cloud Compute (VC2)-instans, der kører FreeBSD 12.
• Et gyldigt domænenavn og korrekt konfigurerede A/ AAAA/ CNAMEDNS-poster for dit domæne.
• Et gyldigt TLS-certifikat. Vi får en fra Let's Encrypt.
• Apache-version 2.4.36eller nyere.
• OpenSSL version 1.1.1eller nyere.

Før du begynder

Tjek FreeBSD-versionen.

uname -ro
# FreeBSD 12.0-RELEASE

Sørg for, at dit FreeBSD-system er opdateret.

freebsd-update fetch install
pkg update && pkg upgrade -y

Installer nødvendige pakker, hvis de ikke findes på dit system.

pkg install -y sudo vim unzip wget bash socat git

Opret en ny brugerkonto med dit foretrukne brugernavn (vi bruger johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Kør visudokommandoen, og fjern kommentering af %wheel ALL=(ALL) ALLlinjen for at tillade medlemmer af wheelgruppen at udføre en kommando.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Skift nu til din nyoprettede bruger med su.

su - johndoe

BEMÆRK: Erstat johndoemed dit brugernavn.

Indstil tidszonen.

sudo tzsetup

Installer acme.shklienten og få et TLS-certifikat fra Let's Encrypt

Installer acme.sh.

sudo pkg install -y acme.sh

Tjek versionen.

acme.sh --version
# v2.7.9

Få RSA- og ECDSA-certifikater for dit domæne.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

BEMÆRK: Erstat example.comi kommandoer med dit domænenavn.

Opret fornuftige mapper til at gemme dine certifikater og nøgler i. Vi vil bruge /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installer og kopier certifikater til /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Efter at have kørt ovenstående kommandoer, vil dine certifikater og nøgler være på følgende steder:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Installer Apache

Apache tilføjede understøttelse af TLS 1.3 i version 2.4.36. FreeBSD 12-systemet leveres med Apache og OpenSSL, der understøtter TLS 1.3 ud af æsken, så der er ingen grund til at bygge en brugerdefineret version.

Download og installer den seneste 2.4-gren af ​​Apache via pkgpakkehåndteringen.

sudo pkg install -y apache24

Tjek versionen.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Start og aktiver Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigurer Apache til TLS 1.3

Nu hvor vi har installeret Apache med succes, er vi klar til at konfigurere den til at begynde at bruge TLS 1.3 på vores server.

BEMÆRK: I FreeBSD er mod_sslmodulet som standard aktiveret i både pakken og porten

Kør sudo vim /usr/local/etc/apache24/httpd.confog inkluder SSL-modulet ved at fjerne kommentarer LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Kør sudo vim /usr/local/etc/apache24/Includes/example.com.conf, og udfyld filen med følgende grundlæggende konfiguration.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Gem filen og afslut med :+ W+ Q.

Tjek konfigurationen.

sudo service apache24 configtest

Genindlæs Apache.

sudo service apache24 reload

Åbn dit websted via HTTPS-protokol i din webbrowser. For at bekræfte TLS 1.3 kan du bruge browserudviklingsværktøjer eller SSL Labs-tjenesten. Skærmbillederne nedenfor viser Chromes sikkerhedsfane med TLS 1.3 i aktion.

Du har med succes aktiveret TLS 1.3 i Apache på din FreeBSD-server. Den endelige version af TLS 1.3 blev defineret i august 2018, så der er ikke noget bedre tidspunkt at begynde at adoptere denne nye teknologi.