Kuidas lubada TLS 1.3 Apacheis FreeBSD 12-s

TLS 1.3 on transpordikihi turvalisuse (TLS) protokolli versioon, mis avaldati 2018. aastal RFC 8446 pakutud standardina . See pakub eelkäijatega võrreldes turvalisuse ja jõudluse täiustusi.

See juhend näitab, kuidas lubada TLS 1.3 Apache veebiserveri abil FreeBSD 12-s.

Nõuded

• Vultr Cloud Compute (VC2) eksemplar, milles töötab FreeBSD 12.
• Kehtiv domeeninime ja õigesti konfigureeritud A/ AAAA/ CNAMEDNS kirjed teie domeeni.
• Kehtiv TLS-sertifikaat. Saame selle Let's Encryptilt.
• Apache versioon 2.4.36või uuem.
• OpenSSL-i versioon 1.1.1või uuem.

Enne alustamist

Kontrollige FreeBSD versiooni.

uname -ro
# FreeBSD 12.0-RELEASE

Veenduge, et teie FreeBSD süsteem on ajakohane.

freebsd-update fetch install
pkg update && pkg upgrade -y

Installige vajalikud paketid, kui neid teie süsteemis pole.

pkg install -y sudo vim unzip wget bash socat git

Loo uus kasutajakonto oma eelistatud kasutajanimega (kasutame johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Käivitage visudokäsk ja tühjendage %wheel ALL=(ALL) ALLrida, et wheelrühma liikmed saaksid mis tahes käsku täita.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Nüüd lülituge oma vastloodud kasutajale, kasutades su.

su - johndoe

MÄRKUS. Asendage johndoeoma kasutajanimega.

Seadistage ajavöönd.

sudo tzsetup

Installige acme.shklient ja hankige Let's Encrypti kaudu TLS-sertifikaat

Installige acme.sh.

sudo pkg install -y acme.sh

Kontrolli versiooni.

acme.sh --version
# v2.7.9

Hankige oma domeeni jaoks RSA ja ECDSA sertifikaadid.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

MÄRKUS. Asendage example.comkäsud oma domeeninimega.

Looge oma sertifikaatide ja võtmete salvestamiseks mõistlikud kataloogid. Kasutame /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installige ja kopeerige sertifikaadid /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Pärast ülaltoodud käskude käivitamist asuvad teie sertifikaadid ja võtmed järgmistes kohtades:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Installige Apache

Apache lisas versioonis 2.4.36 TLS 1.3 toe. FreeBSD 12 süsteemiga on kaasas Apache ja OpenSSL, mis toetavad TLS 1.3, nii et pole vaja kohandatud versiooni luua.

Laadige alla ja installige pkgpaketihalduri kaudu Apache uusim 2.4 haru .

sudo pkg install -y apache24

Kontrolli versiooni.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Käivitage ja lubage Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigureerige Apache TLS 1.3 jaoks

Nüüd, kui oleme Apache'i edukalt installinud, oleme valmis selle konfigureerima, et alustada TLS 1.3 kasutamist meie serveris.

MÄRKUS . FreeBSD-s on mod_sslmoodul vaikimisi lubatud nii paketis kui ka pordis

Käivitage sudo vim /usr/local/etc/apache24/httpd.confja lisage SSL-moodul, eemaldades kommentaarid LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Käivitage sudo vim /usr/local/etc/apache24/Includes/example.com.confja sisestage fail järgmise põhikonfiguratsiooniga.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Salvestage fail ja väljuge klahviga :+ W+ Q.

Kontrollige konfiguratsiooni.

sudo service apache24 configtest

Laadige Apache uuesti.

sudo service apache24 reload

Avage oma sait oma veebibrauseris HTTPS-protokolli kaudu. TLS 1.3 kontrollimiseks võite kasutada brauseri arendaja tööriistu või SSL Labsi teenust. Allolevatel ekraanipiltidel on näha Chrome'i turvalisuse vahekaart koos TLS 1.3-ga.

Olete oma FreeBSD serveris Apache'is TLS 1.3 edukalt lubanud. TLS 1.3 lõplik versioon määratleti 2018. aasta augustis, seega pole paremat aega selle uue tehnoloogia kasutuselevõtuks.