Ako povoliť TLS 1.3 v Apache na Debiane 10

• Požiadavky
• Predtým ako začneš
• Nainštalujte klienta acme.sh a získajte certifikát TLS od spoločnosti Let's Encrypt
• Nainštalujte Apache
• Nakonfigurujte Apache pre TLS 1.3

TLS 1.3 je verzia protokolu Transport Layer Security (TLS), ktorý bol publikovaný v roku 2018 ako navrhovaný štandard v RFC 8446. Oproti svojim predchodcom ponúka vylepšenia zabezpečenia a výkonu.

Táto príručka ukáže, ako povoliť TLS 1.3 pomocou webového servera Apache na Debiane 10.

Požiadavky

• Inštancia Vultr Cloud Compute (VC2) so systémom Debian 10 (Buster).
• Platný názov domény a správne nakonfigurované A/ AAAA/ CNAMEDNS záznamy pre vašu doménu.
• Platný certifikát TLS. Jeden dostaneme z Let's Encrypt.
• Verzia Apache 2.4.36alebo vyššia.
• Verzia OpenSSL 1.1.1alebo vyššia.

Predtým ako začneš

Skontrolujte verziu Debianu.

lsb_release -ds # Debian GNU/Linux 10 (buster)

Vytvorte si nový non-rootpoužívateľský účet s sudoprístupom a prepnite sa naň.

adduser johndoe --gecos "John Doe" usermod -aG sudo johndoe su - johndoe

POZNÁMKA : Nahraďte johndoesvojim užívateľským menom .

Nastavte časové pásmo.

sudo dpkg-reconfigure tzdata

Uistite sa, že váš systém je aktuálny.

sudo apt update && sudo apt upgrade -y

Nainštalujte potrebné balíčky.

sudo apt install -y zip unzip curl wget git socat

Nainštalujte acme.shklienta a získajte certifikát TLS od spoločnosti Let's Encrypt

Nainštalujte acme.sh.

sudo mkdir /etc/letsencrypt git clone https://github.com/Neilpang/acme.sh.git cd acme.sh sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com cd ~ source ~/.bashrc

Skontrolujte verziu.

/etc/letsencrypt/acme.sh --version # v2.8.2

Získajte certifikáty RSA a ECDSA pre svoju doménu.

# RSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048 # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

POZNÁMKA: Nahraďte example.comv príkazoch názvom vašej domény.

Vytvorte rozumné adresáre na ukladanie vašich certifikátov a kľúčov. Použijeme /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com sudo mkdir -p /etc/letsencrypt/example.com_ecc

Nainštalujte a skopírujte certifikáty do /etc/letsencrypt.

# RSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Po spustení vyššie uvedených príkazov budú vaše certifikáty a kľúče na nasledujúcich miestach:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Nainštalujte Apache

Apache pridal podporu pre TLS 1.3 vo verzii 2.4.36. Systém Debian 10 sa dodáva s Apache a OpenSSL, ktoré podporujú TLS 1.3 hneď po vybalení, takže nie je potrebné vytvárať vlastnú verziu.

Stiahnite si a nainštalujte najnovšiu vetvu 2.4 Apache cez aptsprávcu balíkov.

sudo apt install -y apache2

Skontrolujte verziu.

sudo apache2 -v # Server version: Apache/2.4.38 (Debian) # Server built: 2019-04-07T18:15:40

Nakonfigurujte Apache pre TLS 1.3

Teraz, keď sme úspešne nainštalovali Apache, sme pripravení ho nakonfigurovať tak, aby začal používať TLS 1.3 na našom serveri.

Najprv povoľte modul SSL.

sudo a2enmod ssl

Reštartujte Apache.

sudo systemctl restart apache2

Spustite sudo vim /etc/apache2/sites-available/example.com.confa naplňte súbor nasledujúcou základnou konfiguráciou.

<IfModule mod_ssl.c> <VirtualHost *:443> ServerName example.com SSLEngine on SSLProtocol all -SSLv2 -SSLv3 # RSA SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key" # ECC SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key" </VirtualHost> </IfModule>

Uložte súbor a ukončite ho.

Aktivujte nový konfiguračný súbor prepojením súboru s sites-enabledadresárom.

sudo a2ensite example.com.conf

Skontrolujte konfiguráciu.

sudo apachectl configtest

Znova načítať Apache.

sudo systemctl reload apache2

Otvorte svoju stránku prostredníctvom protokolu HTTPS vo webovom prehliadači. Na overenie TLS 1.3 môžete použiť nástroje pre vývojárov prehliadača alebo službu SSL Labs. Snímky obrazovky nižšie zobrazujú kartu zabezpečenia prehliadača Chrome s protokolom TLS 1.3 v akcii.

Úspešne ste povolili TLS 1.3 v Apache na vašom serveri Debian 10. Finálna verzia TLS 1.3 bola definovaná v auguste 2018, takže nie je lepší čas na začatie prijímania tejto novej technológie.