Како омогућити ТЛС 1.3 у Апацхе-у на Дебиан-у 10

• Захтеви
• Пре него што почнете
• Инсталирајте ацме.сх клијент и набавите ТЛС сертификат од Лет'с Енцрипт
• Инсталирајте Апацхе
• Конфигуришите Апацхе за ТЛС 1.3

ТЛС 1.3 је верзија протокола Транспорт Лаиер Сецурити (ТЛС) који је објављен 2018. године као предложени стандард у РФЦ 8446. Нуди побољшања безбедности и перформанси у односу на своје претходнике.

Овај водич ће показати како да омогућите ТЛС 1.3 користећи Апацхе веб сервер на Дебиан 10.

Захтеви

• Вултр Цлоуд Цомпуте (ВЦ2) инстанца која покреће Дебиан 10 (Бустер).
• Важеће име домена и правилно конфигурисани A/ AAAA/ CNAMEДНС записи за ваш домен.
• Важећи ТЛС сертификат. Добићемо један од Лет'с Енцрипт.
• Апацхе верзија 2.4.36или новија.
• ОпенССЛ верзија 1.1.1или новија.

Пре него што почнете

Проверите верзију Дебиана.

lsb_release -ds # Debian GNU/Linux 10 (buster)

Креирајте нови non-rootкориснички налог са sudoприступом и пређите на њега.

adduser johndoe --gecos "John Doe" usermod -aG sudo johndoe su - johndoe

НАПОМЕНА : Замените johndoeсвојим корисничким именом .

Подесите временску зону.

sudo dpkg-reconfigure tzdata

Уверите се да је ваш систем ажуриран.

sudo apt update && sudo apt upgrade -y

Инсталирајте потребне пакете.

sudo apt install -y zip unzip curl wget git socat

Инсталирајте acme.shклијента и прибавите ТЛС сертификат од Лет'с Енцрипт

Инсталирајте ацме.сх.

sudo mkdir /etc/letsencrypt git clone https://github.com/Neilpang/acme.sh.git cd acme.sh sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com cd ~ source ~/.bashrc

Проверите верзију.

/etc/letsencrypt/acme.sh --version # v2.8.2

Набавите РСА и ЕЦДСА сертификате за свој домен.

# RSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048 # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

НАПОМЕНА: Замените example.comу командама именом вашег домена.

Креирајте разумне директоријуме за складиштење ваших сертификата и кључева. Користићемо /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com sudo mkdir -p /etc/letsencrypt/example.com_ecc

Инсталирајте и копирајте сертификате у /етц/летсенцрипт.

# RSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Након покретања горњих команди, ваши сертификати и кључеви ће бити на следећим локацијама:

• РСА :/etc/letsencrypt/example.com
• ЕЦЦ / ЕЦДСА :/etc/letsencrypt/example.com_ecc

Инсталирајте Апацхе

Апацхе је додао подршку за ТЛС 1.3 у верзији 2.4.36. Дебиан 10 систем долази са Апацхе-ом и ОпенССЛ-ом који подржавају ТЛС 1.3 из кутије, тако да нема потребе за прављењем прилагођене верзије.

Преузмите и инсталирајте најновију 2.4 грану Апацхе-а преко aptменаџера пакета.

sudo apt install -y apache2

Проверите верзију.

sudo apache2 -v # Server version: Apache/2.4.38 (Debian) # Server built: 2019-04-07T18:15:40

Конфигуришите Апацхе за ТЛС 1.3

Сада када смо успешно инсталирали Апацхе, спремни смо да га конфигуришемо да почне да користи ТЛС 1.3 на нашем серверу.

Прво, омогућите ССЛ модул.

sudo a2enmod ssl

Поново покрените Апацхе.

sudo systemctl restart apache2

Покрените sudo vim /etc/apache2/sites-available/example.com.confи попуните датотеку следећом основном конфигурацијом.

<IfModule mod_ssl.c> <VirtualHost *:443> ServerName example.com SSLEngine on SSLProtocol all -SSLv2 -SSLv3 # RSA SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key" # ECC SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key" </VirtualHost> </IfModule>

Сачувајте датотеку и изађите.

Активирајте нову конфигурациону датотеку повезивањем датотеке са sites-enabledдиректоријумом.

sudo a2ensite example.com.conf

Проверите конфигурацију.

sudo apachectl configtest

Поново учитај Апацхе.

sudo systemctl reload apache2

Отворите своју веб локацију преко ХТТПС протокола у свом веб претраживачу. Да бисте верификовали ТЛС 1.3, можете да користите алатке за развој претраживача или ССЛ Лабс услугу. Снимци екрана испод показују Цхроме-ову безбедносну картицу са ТЛС 1.3 у акцији.

Успешно сте омогућили ТЛС 1.3 у Апацхе-у на свом Дебиан 10 серверу. Коначна верзија ТЛС-а 1.3 дефинисана је у августу 2018. године, тако да нема бољег времена за почетак усвајања ове нове технологије.