A TLS 1.3 engedélyezése az Nginxben az Ubuntu 18.04 LTS rendszeren

A TLS 1.3 a Transport Layer Security (TLS) protokoll egyik változata, amelyet 2018-ban tettek közzé javasolt szabványként az RFC 8446-ban . Biztonsági és teljesítménybeli fejlesztéseket kínál elődeihez képest.

Ez az útmutató bemutatja, hogyan engedélyezheti a TLS 1.3-at az Nginx webszerver használatával az Ubuntu 18.04 LTS rendszeren.

Követelmények

• Nginx verzió 1.13.0vagy újabb .
• OpenSSL 1.1.1vagy újabb verzió .
• Vultr Cloud Compute (VC2) példány, amelyen az Ubuntu 18.04 fut.
• Egy érvényes domain név és megfelelően konfigurált A/ AAAA/ CNAMEDNS-rekordjait a domain.
• Érvényes TLS-tanúsítvány. Kapunk egyet a Let's Encrypt-től.

Mielőtt elkezded

Ellenőrizze az Ubuntu verziót.

lsb_release -ds
# Ubuntu 18.04.1 LTS

Hozzon létre egy új non-rootfelhasználói fiókot sudohozzáféréssel, és váltson rá.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

MEGJEGYZÉS: Cserélje johndoeki a felhasználónevét.

Állítsa be az időzónát.

sudo dpkg-reconfigure tzdata

Győződjön meg arról, hogy rendszere naprakész.

sudo apt update && sudo apt upgrade -y

Telepítse a build-essential, socatés a gitcsomagokat.

sudo apt install -y build-essential socat git

Telepítse az Acme.sh klienst, és szerezzen TLS-tanúsítványt a Let's Encrypt-től

Töltse le és telepítse az Acme.sh fájlt .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Ellenőrizze a verziót.

acme.sh --version
# v2.8.0

Szerezzen RSA- és ECDSA-tanúsítványokat a domainjéhez.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

MEGJEGYZÉS: Cserélje ki example.coma parancsokat a domain nevével.

Az előző parancsok futtatása után a tanúsítványai és kulcsai a következő címen érhetők el:

• RSA esetén: /etc/letsencrypt/example.comkönyvtár.
• ECC/ECDSA esetén: /etc/letsencrypt/example.com_ecckönyvtár.

Nginx készítése forrásból

Az Nginx támogatta a TLS 1.3-at az 1.13.0-s verzióban. A legtöbb Linux-disztribúción, beleértve az Ubuntu 18.04-et is, az Nginx a régebbi OpenSSL-verzióval készült, amely nem támogatja a TLS 1.3-at. Következésképpen szükségünk van a saját egyéni Nginx buildünkre, amely az OpenSSL 1.1.1-es kiadásához kapcsolódik, amely tartalmazza a TLS 1.3 támogatását.

Töltse le az Nginx forráskód legújabb verzióját, és bontsa ki.

wget https://nginx.org/download/nginx-1.15.5.tar.gz && tar zxvf nginx-1.15.5.tar.gz

Töltse le az OpenSSL 1.1.1 forráskódját, és bontsa ki.

# OpenSSL version 1.1.1
wget https://www.openssl.org/source/openssl-1.1.1.tar.gz && tar xzvf openssl-1.1.1.tar.gz

Törölje az összes .tar.gzfájlt, mert többé nem lesz szükség rájuk.

rm -rf *.tar.gz

Lépjen be az Nginx forráskönyvtárába.

cd ~/nginx-1.15.5

Az Nginx konfigurálása, fordítása és telepítése. Az egyszerűség kedvéért csak azokat a lényeges modulokat fogjuk összeállítani, amelyek a TLS 1.3 működéséhez szükségesek. Ha teljes Nginx összeállításra van szüksége, elolvashatja ezt a Vultr útmutatót az Nginx összeállításáról.

./configure --prefix=/etc/nginx \
            --sbin-path=/usr/sbin/nginx \
            --modules-path=/usr/lib/nginx/modules \
            --conf-path=/etc/nginx/nginx.conf \
            --error-log-path=/var/log/nginx/error.log \
            --pid-path=/var/run/nginx.pid \
            --lock-path=/var/run/nginx.lock \
            --user=nginx \
            --group=nginx \
            --build=Ubuntu \
            --builddir=nginx-1.15.5 \
            --http-log-path=/var/log/nginx/access.log \
            --http-client-body-temp-path=/var/cache/nginx/client_temp \
            --http-proxy-temp-path=/var/cache/nginx/proxy_temp \
            --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
            --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
            --http-scgi-temp-path=/var/cache/nginx/scgi_temp \
            --with-compat \
            --with-http_ssl_module \
            --with-http_v2_module \
            --with-openssl=../openssl-1.1.1 \
            --with-openssl-opt=no-nextprotoneg \
            --without-http_rewrite_module \
            --without-http_gzip_module

make
sudo make install

Hozzon létre Nginx rendszercsoportot és felhasználót.

sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx

Symlink /usr/lib/nginx/modulesa /etc/nginx/moduleskönyvtárra. etc/nginx/modulesaz Nginx modulok szabványos helye.

sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules

Hozzon létre Nginx gyorsítótár-könyvtárakat, és állítsa be a megfelelő engedélyeket.

sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*

Ellenőrizze az Nginx verziót.

sudo nginx -V

# nginx version: nginx/1.15.5 (Ubuntu)
# built by gcc 7.3.0 (Ubuntu 7.3.0-27ubuntu1~18.04)
# built with OpenSSL 1.1.1  11 Sep 2018
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .

Hozzon létre Nginx systemd unit fájlt.

sudo vim /etc/systemd/system/nginx.service

Töltse ki a fájlt a következő konfigurációval.

[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

Indítsa el és engedélyezze az Nginx-et.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Hozzon létre conf.d, sites-availableés sites-enabledkönyvtárakat a /etc/nginxkönyvtárban.

sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}

Futtassa sudo vim /etc/nginx/nginx.confés adja hozzá a következő két direktívát a fájl végéhez, közvetlenül a záró }.

    . . .
    . . .
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*.conf;
}

Mentse el a fájlt, és lépjen ki a :+ W+ gombbal Q.

Az Nginx konfigurálása a TLS 1.3-hoz

Most, hogy sikeresen felépítettük az Nginx-et, készen állunk a konfigurálására, hogy elkezdje használni a TLS 1.3-at a szerverünkön.

Futtassa sudo vim /etc/nginx/conf.d/example.com.confés töltse fel a fájlt a következő konfigurációval.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;

  ssl_prefer_server_ciphers on;

  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
}

Mentse el a fájlt, és lépjen ki a :+ W+ gombbal Q.

Figyeljük TLSv1.3meg az ssl_protocolsirányelv új paraméterét . Ez a paraméter szükséges a TLS 1.3 engedélyezéséhez.

Ellenőrizze a konfigurációt.

sudo nginx -t

Töltse újra az Nginxet.

sudo systemctl reload nginx.service

A TLS 1.3 ellenőrzéséhez használhatja a böngésző fejlesztői eszközeit vagy az SSL Labs szolgáltatást. Az alábbi képernyőképeken a Chrome biztonsági lapja látható, amely azt mutatja, hogy a TLS 1.3 működik.

Gratulálunk! Sikeresen engedélyezte a TLS 1.3-at az Ubuntu 18.04 webszerverén.