Kaip įjungti TLS 1.3 „Apache“, naudojant „FreeBSD 12“.

TLS 1.3 yra Transport Layer Security (TLS) protokolo versija, kuri buvo paskelbta 2018 m. kaip siūlomas standartas RFC 8446 . Jis siūlo saugumo ir našumo patobulinimus, palyginti su jo pirmtakais.

Šis vadovas parodys, kaip įjungti TLS 1.3 naudojant „Apache“ žiniatinklio serverį „FreeBSD 12“.

Reikalavimai

• „Vultr Cloud Compute“ (VC2) egzempliorius, kuriame veikia „FreeBSD 12“.
• Galiojantis domeno vardas ir tinkamai sukonfigūruotas A/ AAAA/ CNAMEDNS įrašus domeno.
• Galiojantis TLS sertifikatas. Mes gausime vieną iš Let's Encrypt.
• Apache versija 2.4.36ar naujesnė.
• OpenSSL versija 1.1.1ar naujesnė.

Prieš tau pradedant

Patikrinkite FreeBSD versiją.

uname -ro
# FreeBSD 12.0-RELEASE

Įsitikinkite, kad jūsų FreeBSD sistema yra atnaujinta.

freebsd-update fetch install
pkg update && pkg upgrade -y

Įdiekite reikiamus paketus, jei jų jūsų sistemoje nėra.

pkg install -y sudo vim unzip wget bash socat git

Sukurkite naują vartotojo paskyrą su pageidaujamu vartotojo vardu (naudosime johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Vykdykite visudokomandą ir panaikinkite %wheel ALL=(ALL) ALLeilutės komentarą, kad wheelgrupės nariai galėtų vykdyti bet kurią komandą.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Dabar perjunkite į naujai sukurtą vartotoją naudodami su.

su - johndoe

PASTABA: pakeiskite johndoesavo vartotojo vardu.

Nustatykite laiko juostą.

sudo tzsetup

Įdiekite acme.shklientą ir gaukite TLS sertifikatą iš Let's Encrypt

Įdiegti acme.sh.

sudo pkg install -y acme.sh

Patikrinkite versiją.

acme.sh --version
# v2.7.9

Gaukite savo domeno RSA ir ECDSA sertifikatus.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

PASTABA: komandose pakeiskite example.comsavo domeno pavadinimu.

Sukurkite protingus katalogus sertifikatams ir raktams saugoti. Mes naudosime /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Įdiekite ir nukopijuokite sertifikatus į /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Paleidus aukščiau nurodytas komandas, jūsų sertifikatai ir raktai bus šiose vietose:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Įdiekite „Apache“.

„Apache“ pridėjo TLS 1.3 palaikymą 2.4.36 versijoje. „FreeBSD 12“ sistemoje yra „Apache“ ir „OpenSSL“, kurios palaiko TLS 1.3, todėl nereikia kurti pasirinktinės versijos.

Atsisiųskite ir įdiekite naujausią 2.4 „Apache“ šaką naudodami pkgpaketų tvarkyklę.

sudo pkg install -y apache24

Patikrinkite versiją.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Paleiskite ir įgalinkite „Apache“.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigūruokite Apache TLS 1.3

Dabar, kai sėkmingai įdiegėme „Apache“, esame pasirengę ją sukonfigūruoti, kad pradėtume naudoti TLS 1.3 savo serveryje.

PASTABA: „FreeBSD“ mod_sslmodulis pagal nutylėjimą įjungtas tiek pakete, tiek prievade

Paleiskite sudo vim /usr/local/etc/apache24/httpd.confir įtraukite SSL modulį panaikindami komentarus LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Paleiskite sudo vim /usr/local/etc/apache24/Includes/example.com.confir užpildykite failą tokia pagrindine konfigūracija.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Išsaugokite failą ir išeikite su :+ W+ Q.

Patikrinkite konfigūraciją.

sudo service apache24 configtest

Iš naujo įkelkite „Apache“.

sudo service apache24 reload

Atidarykite svetainę naudodami HTTPS protokolą žiniatinklio naršyklėje. Norėdami patikrinti TLS 1.3, galite naudoti naršyklės kūrėjo įrankius arba SSL laboratorijų paslaugą. Toliau pateiktose ekrano kopijose rodomas „Chrome“ saugos skirtukas, kuriame veikia TLS 1.3.

Sėkmingai įjungėte TLS 1.3 „Apache“ savo FreeBSD serveryje. Galutinė TLS 1.3 versija buvo apibrėžta 2018 m. rugpjūčio mėn., todėl nėra geresnio laiko pradėti taikyti šią naują technologiją.