Kako omogočiti TLS 1.3 v Apache na CentOS 8

TLS 1.3 je različica protokola Transport Layer Security (TLS), ki je bil objavljen leta 2018 kot predlagani standard v RFC 8446. Ponuja izboljšave varnosti in zmogljivosti v primerjavi s svojimi predhodniki.

Ta priročnik bo pokazal, kako omogočiti TLS 1.3 s spletnim strežnikom Apache na CentOS 8.

Zahteve

• Primerek Vultr Cloud Compute (VC2), ki izvaja CentOS 8.
• Veljavno ime domene in pravilno konfigurirani A/ AAAA/ CNAMEzapisi DNS za vašo domeno.
• Veljavno potrdilo TLS. Dobili bomo enega od Let's Encrypt.
• Različica Apache 2.4.36ali novejša.
• Različica OpenSSL 1.1.1ali novejša.

Preden začneš

Preverite različico CentOS.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Ustvarite nov non-rootuporabniški račun z sudodostopom in preklopite nanj.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

OPOMBA: Zamenjajte johndoez vašim uporabniškim imenom.

Nastavite časovni pas.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Prepričajte se, da je vaš sistem posodobljen.

sudo yum update

Namestite potrebne pakete.

sudo yum install -y socat git

Onemogočite SELinux in požarni zid.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Namestite acme.shodjemalca in pridobite potrdilo TLS od Let's Encrypt

Namestite acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Preverite različico.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Pridobite certifikata RSA in ECDSA za svojo domeno.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

OPOMBA: Zamenjajte example.comv ukazih z imenom vaše domene.

Ustvarite smiselne imenike za shranjevanje vaših potrdil in ključev. Uporabili bomo /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Namestite in kopirajte potrdila v /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Po zagonu zgornjih ukazov bodo vaši certifikati in ključi na naslednjih mestih:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Namestite Apache

Apache je dodal podporo za TLS 1.3 v različici 2.4.36. Sistem CentOS 8 prihaja z Apache in OpenSSL, ki podpirata TLS 1.3 iz škatle, tako da ni treba graditi različice po meri.

Prenesite in namestite najnovejšo različico 2.4 Apache in njegov modul za SSL prek yumupravitelja paketov.

sudo yum install -y httpd mod_ssl

Preverite različico.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Zaženite in omogočite Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurirajte Apache za TLS 1.3

Zdaj, ko smo Apache uspešno namestili, smo pripravljeni, da ga konfiguriramo tako, da začne uporabljati TLS 1.3 na našem strežniku.

Zaženite sudo vim /etc/httpd/conf.d/example.com.confin zapolnite datoteko z naslednjo osnovno konfiguracijo.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Shranite datoteko in zapustite s :+ W+ Q.

Preverite konfiguracijo.

sudo apachectl configtest

Znova naložite Apache, da aktivirate novo konfiguracijo.

sudo systemctl reload httpd.service

Odprite svoje spletno mesto prek protokola HTTPS v spletnem brskalniku. Za preverjanje TLS 1.3 lahko uporabite orodja za razvijalce brskalnika ali storitev SSL Labs. Spodnji posnetki zaslona prikazujejo Chromov varnostni zavihek s TLS 1.3 v akciji.

Uspešno ste omogočili TLS 1.3 v Apache na vašem strežniku CentOS 8. Končna različica TLS 1.3 je bila definirana avgusta 2018, tako da ni boljšega časa za začetek sprejemanja te nove tehnologije.