Kā iespējot TLS 1.3 Apache operētājsistēmā Fedora 30

• Prasības
• Pirms tu sāc
• Instalējiet acme.sh klientu un iegūstiet TLS sertifikātu no Let's Encrypt
• Instalējiet Apache
• Konfigurējiet Apache TLS 1.3

TLS 1.3 ir transporta slāņa drošības (TLS) protokola versija, kas tika publicēta 2018. gadā kā piedāvātais standarts RFC 8446. Tas piedāvā drošības un veiktspējas uzlabojumus salīdzinājumā ar tā priekšgājējiem.

Šajā rokasgrāmatā tiks parādīts, kā iespējot TLS 1.3, izmantojot Apache tīmekļa serveri operētājsistēmā Fedora 30.

Prasības

• Vultr Cloud Compute (VC2) instance, kurā darbojas Fedora 30.
• Derīga domēna vārdu un pareizi konfigurēti A/ AAAA/ CNAMEDNS ierakstus savam domēnam.
• Derīgs TLS sertifikāts. Mēs to saņemsim no Let's Encrypt.
• Apache versija 2.4.36vai jaunāka.
• OpenSSL versija 1.1.1vai jaunāka.

Pirms tu sāc

Pārbaudiet Fedora versiju.

cat /etc/fedora-release # Fedora release 30 (Thirty)

Izveidojiet jaunu non-rootlietotāja kontu ar sudopiekļuvi un pārslēdzieties uz to.

useradd -c "John Doe" johndoe && passwd johndoe usermod -aG wheel johndoe su - johndoe

PIEZĪME. Aizstāt johndoear savu lietotājvārdu.

Iestatiet laika joslu.

timedatectl list-timezones sudo timedatectl set-timezone 'Region/City'

Pārliecinieties, vai jūsu sistēma ir atjaunināta.

sudo dnf check-upgrade || sudo dnf upgrade -y

Instalējiet nepieciešamās pakotnes.

sudo dnf install -y socat git

Atspējojiet SELinux un ugunsmūri.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Instalējiet acme.shklientu un iegūstiet TLS sertifikātu no Let's Encrypt

Instalējiet acme.sh.

sudo mkdir /etc/letsencrypt git clone https://github.com/Neilpang/acme.sh.git cd acme.sh sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com cd ~ source ~/.bashrc

Pārbaudiet versiju.

/etc/letsencrypt/acme.sh --version # v2.8.2

Iegūstiet savam domēnam RSA un ECDSA sertifikātus.

# RSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048 # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

PIEZĪME. Aizstājiet example.comkomandas ar savu domēna nosaukumu.

Izveidojiet saprātīgus direktorijus, lai saglabātu savus sertifikātus un atslēgas. Mēs izmantosim /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instalējiet un kopējiet sertifikātus uz /etc/letsencrypt.

# RSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Pēc iepriekš minēto komandu palaišanas jūsu sertifikāti un atslēgas atradīsies šādās vietās:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Instalējiet Apache

Apache versijā 2.4.36 pievienoja TLS 1.3 atbalstu. Fedora 30 sistēma ir aprīkota ar Apache un OpenSSL, kas atbalsta TLS 1.3 jau no kastes, tāpēc nav nepieciešams izveidot pielāgotu versiju.

Lejupielādējiet un instalējiet jaunāko Apache 2.4 atzaru un tā moduli SSL, izmantojot dnfpakotņu pārvaldnieku.

sudo dnf install -y httpd mod_ssl

Pārbaudiet versiju.

sudo httpd -v # Server version: Apache/2.4.39 (Fedora) # Server built: May 2 2019 14:50:28

Sāciet un iespējojiet Apache.

sudo systemctl start httpd.service sudo systemctl enable httpd.service

Konfigurējiet Apache TLS 1.3

Tagad, kad esam veiksmīgi instalējuši Apache, esam gatavi to konfigurēt, lai savā serverī sāktu lietot TLS 1.3.

Palaidiet sudo vim /etc/httpd/conf.d/example.com.confun aizpildiet failu ar šādu pamata konfigurāciju.

<IfModule mod_ssl.c> <VirtualHost *:443> ServerName example.com SSLEngine on SSLProtocol all -SSLv2 -SSLv3 # RSA SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key" # ECC SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key" </VirtualHost> </IfModule>

Saglabājiet failu un izejiet.

Pārbaudiet konfigurāciju.

sudo apachectl configtest

Atkārtoti ielādējiet Apache, lai aktivizētu jauno konfigurāciju.

sudo systemctl reload httpd.service

Atveriet vietni savā tīmekļa pārlūkprogrammā, izmantojot HTTPS protokolu. Lai verificētu TLS 1.3, varat izmantot pārlūkprogrammas izstrādātāju rīkus vai SSL Labs pakalpojumu. Tālāk redzamajos ekrānuzņēmumos ir redzama Chrome drošības cilne ar TLS 1.3 darbību.

Jūs esat veiksmīgi iespējojis TLS 1.3 programmā Apache savā Fedora 30 serverī. TLS 1.3 galīgā versija tika noteikta 2018. gada augustā, tāpēc nav labāka laika, lai sāktu ieviest šo jauno tehnoloģiju.