Kā iespējot TLS 1.3 Nginx uz FreeBSD 12

TLS 1.3 ir transporta slāņa drošības (TLS) protokola versija, kas tika publicēta 2018. gadā kā piedāvātais standarts RFC 8446 . Tas piedāvā drošības un veiktspējas uzlabojumus salīdzinājumā ar tā priekšgājējiem.

Šajā rokasgrāmatā tiks parādīts, kā iespējot TLS 1.3, izmantojot Nginx tīmekļa serveri FreeBSD 12.

Prasības

• Vultr Cloud Compute (VC2) instance, kurā darbojas FreeBSD 12.
• Derīga domēna vārdu un pareizi konfigurēti A/ AAAA/ CNAMEDNS ierakstus savam domēnam.
• Derīgs TLS sertifikāts. Mēs to saņemsim no Let's Encrypt.
• Nginx versija 1.13.0vai jaunāka.
• OpenSSL versija 1.1.1vai jaunāka.

Pirms tu sāc

Pārbaudiet FreeBSD versiju.

uname -ro
# FreeBSD 12.0-RELEASE

Pārliecinieties, vai jūsu FreeBSD sistēma ir atjaunināta.

freebsd-update fetch install
pkg update && pkg upgrade -y

Instalējiet nepieciešamās pakotnes, ja tās jūsu sistēmā nav.

pkg install -y sudo vim unzip wget bash socat git

Izveidojiet jaunu lietotāja kontu ar vēlamo lietotājvārdu (mēs izmantosim johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Palaidiet visudokomandu un noņemiet komentāru no %wheel ALL=(ALL) ALLrindiņas, lai wheelgrupas dalībnieki varētu izpildīt jebkuru komandu.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Tagad pārslēdzieties uz savu jaunizveidoto lietotāju, izmantojot su.

su - johndoe

PIEZĪME. Aizstāt johndoear savu lietotājvārdu.

Iestatiet laika joslu.

sudo tzsetup

Instalējiet acme.sh klientu un iegūstiet TLS sertifikātu no Let's Encrypt

Instalējiet acme.sh.

sudo pkg install -y acme.sh

Pārbaudiet versiju.

acme.sh --version
# v2.7.9

Iegūstiet savam domēnam RSA un ECDSA sertifikātus.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

PIEZĪME. Aizstājiet example.comkomandas ar savu domēna nosaukumu.

Izveidojiet direktorijus, lai saglabātu savus sertifikātus un atslēgas. Mēs izmantosim /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instalējiet un kopējiet sertifikātus /etc/letsencryptdirektorijā.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Pēc iepriekš minēto komandu palaišanas jūsu sertifikāti un atslēgas atradīsies šādās vietās:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Instalējiet Nginx

Nginx pievienoja atbalstu TLS 1.3 versijā 1.13.0. FreeBSD 12 sistēma ir aprīkota ar Nginx un OpenSSL, kas atbalsta TLS 1.3 jau no kastes, tāpēc nav nepieciešams izveidot pielāgotu versiju.

Lejupielādējiet un instalējiet jaunāko Nginx galveno versiju, izmantojot pkgpakotņu pārvaldnieku.

sudo pkg install -y nginx-devel

Pārbaudiet versiju.

nginx -v
# nginx version: nginx/1.15.8

Pārbaudiet OpenSSL versiju, pret kuru tika kompilēts Nginx.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Sāciet un iespējojiet Nginx.

sudo sysrc nginx_enable=yes
sudo service nginx start

Konfigurējiet Nginx

Tagad, kad esam veiksmīgi instalējuši Nginx, esam gatavi to konfigurēt ar atbilstošu konfigurāciju, lai savā serverī sāktu lietot TLS 1.3.

Palaidiet sudo vim /usr/local/etc/nginx/example.com.confkomandu un aizpildiet failu ar šādu konfigurāciju.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Saglabājiet failu un izeju ar :+ W+ Q.

Tagad mums ir jāiekļauj example.com.confgalvenajā nginx.conffailā.

Palaidiet sudo vim /usr/local/etc/nginx/nginx.confun pievienojiet http {}blokam šādu rindu .

include example.com.conf;

Ievērojiet jauno direktīvas TLSv1.3parametru ssl_protocols. Šis parametrs ir nepieciešams tikai, lai Nginx serverī iespējotu TLS 1.3.

Pārbaudiet konfigurāciju.

sudo nginx -t

Pārlādēt Nginx.

sudo service nginx reload

Lai verificētu TLS 1.3, varat izmantot pārlūkprogrammas izstrādātāju rīkus vai SSL Labs pakalpojumu. Tālāk redzamajos ekrānuzņēmumos ir redzama Chrome drošības cilne.

Jūs esat veiksmīgi iespējojis TLS 1.3 programmā Nginx savā FreeBSD serverī. TLS 1.3 galīgā versija tika noteikta 2018. gada augustā, tāpēc nav labāka laika, lai sāktu ieviest šo jauno tehnoloģiju.