Kā iespējot TLS 1.3 programmā Apache uz FreeBSD 12

TLS 1.3 ir transporta slāņa drošības (TLS) protokola versija, kas tika publicēta 2018. gadā kā piedāvātais standarts RFC 8446 . Tas piedāvā drošības un veiktspējas uzlabojumus salīdzinājumā ar tā priekšgājējiem.

Šajā rokasgrāmatā tiks parādīts, kā iespējot TLS 1.3, izmantojot Apache tīmekļa serveri uz FreeBSD 12.

Prasības

• Vultr Cloud Compute (VC2) instance, kurā darbojas FreeBSD 12.
• Derīga domēna vārdu un pareizi konfigurēti A/ AAAA/ CNAMEDNS ierakstus savam domēnam.
• Derīgs TLS sertifikāts. Mēs to saņemsim no Let's Encrypt.
• Apache versija 2.4.36vai jaunāka.
• OpenSSL versija 1.1.1vai jaunāka.

Pirms tu sāc

Pārbaudiet FreeBSD versiju.

uname -ro
# FreeBSD 12.0-RELEASE

Pārliecinieties, vai jūsu FreeBSD sistēma ir atjaunināta.

freebsd-update fetch install
pkg update && pkg upgrade -y

Instalējiet nepieciešamās pakotnes, ja tās jūsu sistēmā nav.

pkg install -y sudo vim unzip wget bash socat git

Izveidojiet jaunu lietotāja kontu ar vēlamo lietotājvārdu (mēs izmantosim johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Palaidiet visudokomandu un noņemiet komentāru no %wheel ALL=(ALL) ALLrindiņas, lai wheelgrupas dalībnieki varētu izpildīt jebkuru komandu.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Tagad pārslēdzieties uz savu jaunizveidoto lietotāju, izmantojot su.

su - johndoe

PIEZĪME. Aizstāt johndoear savu lietotājvārdu.

Iestatiet laika joslu.

sudo tzsetup

Instalējiet acme.shklientu un iegūstiet TLS sertifikātu no Let's Encrypt

Instalējiet acme.sh.

sudo pkg install -y acme.sh

Pārbaudiet versiju.

acme.sh --version
# v2.7.9

Iegūstiet savam domēnam RSA un ECDSA sertifikātus.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

PIEZĪME. Aizstājiet example.comkomandas ar savu domēna nosaukumu.

Izveidojiet saprātīgus direktorijus, lai saglabātu savus sertifikātus un atslēgas. Mēs izmantosim /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instalējiet un kopējiet sertifikātus uz /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Pēc iepriekš minēto komandu palaišanas jūsu sertifikāti un atslēgas atradīsies šādās vietās:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Instalējiet Apache

Apache versijā 2.4.36 pievienoja TLS 1.3 atbalstu. FreeBSD 12 sistēma ir aprīkota ar Apache un OpenSSL, kas atbalsta TLS 1.3 no kastes, tāpēc nav nepieciešams izveidot pielāgotu versiju.

Lejupielādējiet un instalējiet jaunāko Apache 2.4 atzaru, izmantojot pkgpakotņu pārvaldnieku.

sudo pkg install -y apache24

Pārbaudiet versiju.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Sāciet un iespējojiet Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigurējiet Apache TLS 1.3

Tagad, kad esam veiksmīgi instalējuši Apache, esam gatavi to konfigurēt, lai savā serverī sāktu lietot TLS 1.3.

PIEZĪME: FreeBSD mod_sslmodulis pēc noklusējuma ir iespējots gan pakotnē, gan portā

Palaidiet sudo vim /usr/local/etc/apache24/httpd.confun iekļaujiet SSL moduli, atņemot komentārus LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Palaidiet sudo vim /usr/local/etc/apache24/Includes/example.com.confun aizpildiet failu ar šādu pamata konfigurāciju.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Saglabājiet failu un izeju ar :+ W+ Q.

Pārbaudiet konfigurāciju.

sudo service apache24 configtest

Pārlādējiet Apache.

sudo service apache24 reload

Atveriet vietni savā tīmekļa pārlūkprogrammā, izmantojot HTTPS protokolu. Lai verificētu TLS 1.3, varat izmantot pārlūkprogrammas izstrādātāju rīkus vai SSL Labs pakalpojumu. Tālāk redzamajos ekrānuzņēmumos ir redzama Chrome drošības cilne ar TLS 1.3 darbību.

Jūs esat veiksmīgi iespējojis TLS 1.3 Apache savā FreeBSD serverī. TLS 1.3 galīgā versija tika noteikta 2018. gada augustā, tāpēc nav labāka laika, lai sāktu ieviest šo jauno tehnoloģiju.