Kā iespējot TLS 1.3 Apache operētājsistēmā CentOS 8

TLS 1.3 ir transporta slāņa drošības (TLS) protokola versija, kas tika publicēta 2018. gadā kā piedāvātais standarts RFC 8446. Tas piedāvā drošības un veiktspējas uzlabojumus salīdzinājumā ar tā priekšgājējiem.

Šajā rokasgrāmatā tiks parādīts, kā iespējot TLS 1.3, izmantojot Apache tīmekļa serveri operētājsistēmā CentOS 8.

Prasības

• Vultr Cloud Compute (VC2) instance, kurā darbojas CentOS 8.
• Derīga domēna vārdu un pareizi konfigurēti A/ AAAA/ CNAMEDNS ierakstus savam domēnam.
• Derīgs TLS sertifikāts. Mēs to saņemsim no Let's Encrypt.
• Apache versija 2.4.36vai jaunāka.
• OpenSSL versija 1.1.1vai jaunāka.

Pirms tu sāc

Pārbaudiet CentOS versiju.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Izveidojiet jaunu non-rootlietotāja kontu ar sudopiekļuvi un pārslēdzieties uz to.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

PIEZĪME. Aizstāt johndoear savu lietotājvārdu.

Iestatiet laika joslu.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Pārliecinieties, vai jūsu sistēma ir atjaunināta.

sudo yum update

Instalējiet nepieciešamās pakotnes.

sudo yum install -y socat git

Atspējojiet SELinux un ugunsmūri.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Instalējiet acme.shklientu un iegūstiet TLS sertifikātu no Let's Encrypt

Instalējiet acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Pārbaudiet versiju.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Iegūstiet savam domēnam RSA un ECDSA sertifikātus.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

PIEZĪME. Aizstājiet example.comkomandas ar savu domēna nosaukumu.

Izveidojiet saprātīgus direktorijus, lai saglabātu savus sertifikātus un atslēgas. Mēs izmantosim /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instalējiet un kopējiet sertifikātus mapē /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Pēc iepriekš minēto komandu palaišanas jūsu sertifikāti un atslēgas atradīsies šādās vietās:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Instalējiet Apache

Apache versijā 2.4.36 pievienoja TLS 1.3 atbalstu. CentOS 8 sistēma ir aprīkota ar Apache un OpenSSL, kas atbalsta TLS 1.3 jau no kastes, tāpēc nav nepieciešams izveidot pielāgotu versiju.

Lejupielādējiet un instalējiet jaunāko Apache 2.4 versiju un tās SSL moduli, izmantojot yumpakotņu pārvaldnieku.

sudo yum install -y httpd mod_ssl

Pārbaudiet versiju.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Sāciet un iespējojiet Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurējiet Apache TLS 1.3

Tagad, kad esam veiksmīgi instalējuši Apache, esam gatavi to konfigurēt, lai savā serverī sāktu lietot TLS 1.3.

Palaidiet sudo vim /etc/httpd/conf.d/example.com.confun aizpildiet failu ar šādu pamata konfigurāciju.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Saglabājiet failu un izeju ar :+ W+ Q.

Pārbaudiet konfigurāciju.

sudo apachectl configtest

Atkārtoti ielādējiet Apache, lai aktivizētu jauno konfigurāciju.

sudo systemctl reload httpd.service

Atveriet vietni savā tīmekļa pārlūkprogrammā, izmantojot HTTPS protokolu. Lai verificētu TLS 1.3, varat izmantot pārlūkprogrammas izstrādātāju rīkus vai SSL Labs pakalpojumu. Tālāk redzamajos ekrānuzņēmumos ir redzama Chrome drošības cilne ar TLS 1.3 darbību.

Jūs esat veiksmīgi iespējojis TLS 1.3 programmā Apache savā CentOS 8 serverī. TLS 1.3 galīgā versija tika noteikta 2018. gada augustā, tāpēc nav labāka laika, lai sāktu ieviest šo jauno tehnoloģiju.