Како омогућити ТЛС 1.3 у Апацхе-у на Федора 30

• Захтеви
• Пре него што почнете
• Инсталирајте ацме.сх клијент и набавите ТЛС сертификат од Лет'с Енцрипт
• Инсталирајте Апацхе
• Конфигуришите Апацхе за ТЛС 1.3

ТЛС 1.3 је верзија протокола Транспорт Лаиер Сецурити (ТЛС) који је објављен 2018. године као предложени стандард у РФЦ 8446. Нуди побољшања безбедности и перформанси у односу на своје претходнике.

Овај водич ће показати како да омогућите ТЛС 1.3 користећи Апацхе веб сервер на Федора 30.

Захтеви

• Вултр Цлоуд Цомпуте (ВЦ2) инстанца која покреће Федора 30.
• Важеће име домена и правилно конфигурисани A/ AAAA/ CNAMEДНС записи за ваш домен.
• Важећи ТЛС сертификат. Добићемо један од Лет'с Енцрипт.
• Апацхе верзија 2.4.36или новија.
• ОпенССЛ верзија 1.1.1или новија.

Пре него што почнете

Проверите Федора верзију.

cat /etc/fedora-release # Fedora release 30 (Thirty)

Креирајте нови non-rootкориснички налог са sudoприступом и пређите на њега.

useradd -c "John Doe" johndoe && passwd johndoe usermod -aG wheel johndoe su - johndoe

НАПОМЕНА: Замените johndoeсвојим корисничким именом.

Подесите временску зону.

timedatectl list-timezones sudo timedatectl set-timezone 'Region/City'

Уверите се да је ваш систем ажуриран.

sudo dnf check-upgrade || sudo dnf upgrade -y

Инсталирајте потребне пакете.

sudo dnf install -y socat git

Онемогућите СЕЛинук и заштитни зид.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Инсталирајте acme.shклијента и прибавите ТЛС сертификат од Лет'с Енцрипт

Инсталирајте ацме.сх.

sudo mkdir /etc/letsencrypt git clone https://github.com/Neilpang/acme.sh.git cd acme.sh sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com cd ~ source ~/.bashrc

Проверите верзију.

/etc/letsencrypt/acme.sh --version # v2.8.2

Набавите РСА и ЕЦДСА сертификате за свој домен.

# RSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048 # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

НАПОМЕНА: Замените example.comу командама именом вашег домена.

Креирајте разумне директоријуме за складиштење ваших сертификата и кључева. Користићемо /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com sudo mkdir -p /etc/letsencrypt/example.com_ecc

Инсталирајте и копирајте сертификате у /etc/letsencrypt.

# RSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem # ECC/ECDSA sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Након покретања горњих команди, ваши сертификати и кључеви ће бити на следећим локацијама:

• РСА :/etc/letsencrypt/example.com
• ЕЦЦ / ЕЦДСА :/etc/letsencrypt/example.com_ecc

Инсталирајте Апацхе

Апацхе је додао подршку за ТЛС 1.3 у верзији 2.4.36. Федора 30 систем долази са Апацхе-ом и ОпенССЛ-ом који подржавају ТЛС 1.3 из кутије, тако да нема потребе за прављењем прилагођене верзије.

Преузмите и инсталирајте најновију грану 2.4 Апацхе-а и његов модул за ССЛ преко dnfменаџера пакета.

sudo dnf install -y httpd mod_ssl

Проверите верзију.

sudo httpd -v # Server version: Apache/2.4.39 (Fedora) # Server built: May 2 2019 14:50:28

Покрените и омогућите Апацхе.

sudo systemctl start httpd.service sudo systemctl enable httpd.service

Конфигуришите Апацхе за ТЛС 1.3

Сада када смо успешно инсталирали Апацхе, спремни смо да га конфигуришемо да почне да користи ТЛС 1.3 на нашем серверу.

Покрените sudo vim /etc/httpd/conf.d/example.com.confи попуните датотеку следећом основном конфигурацијом.

<IfModule mod_ssl.c> <VirtualHost *:443> ServerName example.com SSLEngine on SSLProtocol all -SSLv2 -SSLv3 # RSA SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key" # ECC SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem" SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key" </VirtualHost> </IfModule>

Сачувајте датотеку и изађите.

Проверите конфигурацију.

sudo apachectl configtest

Поново учитајте Апацхе да бисте активирали нову конфигурацију.

sudo systemctl reload httpd.service

Отворите своју веб локацију преко ХТТПС протокола у свом веб претраживачу. Да бисте верификовали ТЛС 1.3, можете да користите алатке за развој претраживача или ССЛ Лабс услугу. Снимци екрана испод показују Цхроме-ову безбедносну картицу са ТЛС 1.3 у акцији.

Успешно сте омогућили ТЛС 1.3 у Апацхе-у на свом Федора 30 серверу. Коначна верзија ТЛС-а 1.3 дефинисана је у августу 2018. године, тако да нема бољег времена за почетак усвајања ове нове технологије.