A TLS 1.3 engedélyezése az Nginxben a Fedora 29 rendszeren

Bevezetés

A TLS 1.3 a Transport Layer Security (TLS) protokoll egyik változata, amelyet 2018-ban tettek közzé javasolt szabványként az RFC 8446-ban . Biztonsági és teljesítménybeli fejlesztéseket kínál elődeihez képest.

Ez az útmutató bemutatja, hogyan engedélyezheti a TLS 1.3-at az Nginx webszerver használatával a Fedora 29 rendszeren.

Követelmények

• Nginx verzió 1.13.0vagy újabb .
• OpenSSL 1.1.1vagy újabb verzió .
• Vultr Cloud Compute (VC2) példány, amelyen a Fedora 29 fut.
• Egy érvényes domain név és megfelelően konfigurált A/ AAAA/ CNAMEDNS-rekordjait a domain.
• Érvényes TLS-tanúsítvány. Kapunk egyet a Let's Encrypt-től.

Mielőtt elkezded

Ellenőrizze a Fedora verziót.

cat /etc/fedora-release
# Fedora release 29 (Twenty Nine)

Hozzon létre egy új non-rootfelhasználói fiókot sudohozzáféréssel, és váltson rá.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

MEGJEGYZÉS: Cserélje johndoeki a felhasználónevét.

Állítsa be az időzónát.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Győződjön meg arról, hogy rendszere naprakész.

sudo dnf check-upgrade || sudo dnf upgrade -y

Telepítse a szükséges csomagokat.

sudo dnf install -y socat git

Tiltsa le a SELinuxot és a tűzfalat.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Telepítse az Acme.sh klienst, és szerezzen TLS-tanúsítványt a Let's Encrypt-től

Ebben az útmutatóban az Acme.sh klienst használjuk a Let's Encrypt SSL-tanúsítványok beszerzésére. Használhat olyan klienst, akit a legjobban ismer.

Töltse le és telepítse az Acme.sh fájlt .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~

Ellenőrizze a verziót.

/etc/letsencrypt/acme.sh --version
# v2.8.1

Szerezzen RSA- és ECDSA-tanúsítványokat a domainjéhez.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

MEGJEGYZÉS: Cserélje example.comki a parancsokat a domain nevével.

Az előző parancsok futtatása után a tanúsítványai és kulcsai a következő címen érhetők el:

• RSA: /etc/letsencrypt/example.com.
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc.

Telepítse az Nginx-et

Az Nginx támogatta a TLS 1.3-at az 1.13.0-s verzióban. A Fedora 29 Nginx-szel és OpenSSL-lel érkezik, amelyek már a dobozból támogatják a TLS 1.3-at, így nincs szükség egyedi verzió létrehozására.

Telepítse az Nginx-et.

sudo dnf install -y nginx

Ellenőrizze a verziót.

nginx -v
# nginx version: nginx/1.14.2

Ellenőrizze azt az OpenSSL-verziót, amelyre az Nginxet lefordították.

nginx -V
# built with OpenSSL 1.1.1b FIPS  26 Feb 2019

Indítsa el és engedélyezze az Nginx-et.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Az Nginx beállítása

Most, hogy sikeresen telepítettük az Nginxet, készen állunk a megfelelő konfigurációval konfigurálni, hogy elkezdjük használni a TLS 1.3-at a szerverünkön.

Futtassa a sudo vim /etc/nginx/conf.d/example.com.confparancsot, és töltse fel a fájlt a következő konfigurációval.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Mentse el a fájlt, és lépjen ki a :+ W+ gombbal Q.

Figyeljük TLSv1.3meg az ssl_protocolsirányelv új paraméterét . Ez a paraméter csak a TLS 1.3 engedélyezéséhez szükséges az Nginx rendszeren.

Ellenőrizze a konfigurációt.

sudo nginx -t

Töltse újra az Nginxet.

sudo systemctl reload nginx.service

A TLS 1.3 ellenőrzéséhez használhatja a böngésző fejlesztői eszközeit vagy az SSL Labs szolgáltatást. Az alábbi képernyőképeken a Chrome biztonsági lapja látható.

Ez minden. Sikeresen engedélyezte a TLS 1.3-at az Nginxben a Fedora 29 szerveren. A TLS 1.3 végleges verzióját 2018 augusztusában határozták meg, így nincs jobb alkalom az új technológia bevezetésére.