Како омогућити ТЛС 1.3 у Апацхе-у на ЦентОС 8

ТЛС 1.3 је верзија протокола Транспорт Лаиер Сецурити (ТЛС) који је објављен 2018. године као предложени стандард у РФЦ 8446. Нуди побољшања безбедности и перформанси у односу на своје претходнике.

Овај водич ће показати како да омогућите ТЛС 1.3 користећи Апацхе веб сервер на ЦентОС 8.

Захтеви

• Вултр Цлоуд Цомпуте (ВЦ2) инстанца која покреће ЦентОС 8.
• Важеће име домена и правилно конфигурисани A/ AAAA/ CNAMEДНС записи за ваш домен.
• Важећи ТЛС сертификат. Добићемо један од Лет'с Енцрипт.
• Апацхе верзија 2.4.36или новија.
• ОпенССЛ верзија 1.1.1или новија.

Пре него што почнете

Проверите верзију ЦентОС-а.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Креирајте нови non-rootкориснички налог са sudoприступом и пређите на њега.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

НАПОМЕНА: Замените johndoeсвојим корисничким именом.

Подесите временску зону.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Уверите се да је ваш систем ажуриран.

sudo yum update

Инсталирајте потребне пакете.

sudo yum install -y socat git

Онемогућите СЕЛинук и заштитни зид.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Инсталирајте acme.shклијента и прибавите ТЛС сертификат од Лет'с Енцрипт

Инсталирајте ацме.сх.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Проверите верзију.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Набавите РСА и ЕЦДСА сертификате за свој домен.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

НАПОМЕНА: Замените example.comу командама именом вашег домена.

Креирајте разумне директоријуме за складиштење ваших сертификата и кључева. Користићемо /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Инсталирајте и копирајте сертификате у /етц/летсенцрипт.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Након покретања горњих команди, ваши сертификати и кључеви ће бити на следећим локацијама:

• РСА :/etc/letsencrypt/example.com
• ЕЦЦ / ЕЦДСА :/etc/letsencrypt/example.com_ecc

Инсталирајте Апацхе

Апацхе је додао подршку за ТЛС 1.3 у верзији 2.4.36. ЦентОС 8 систем долази са Апацхе-ом и ОпенССЛ-ом који подржавају ТЛС 1.3 из кутије, тако да нема потребе за прављењем прилагођене верзије.

Преузмите и инсталирајте најновију 2.4 верзију Апацхе-а и његов модул за ССЛ преко yumменаџера пакета.

sudo yum install -y httpd mod_ssl

Проверите верзију.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Покрените и омогућите Апацхе.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Конфигуришите Апацхе за ТЛС 1.3

Сада када смо успешно инсталирали Апацхе, спремни смо да га конфигуришемо да почне да користи ТЛС 1.3 на нашем серверу.

Покрените sudo vim /etc/httpd/conf.d/example.com.confи попуните датотеку следећом основном конфигурацијом.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Сачувајте датотеку и изађите са :+ W+ Q.

Проверите конфигурацију.

sudo apachectl configtest

Поново учитајте Апацхе да бисте активирали нову конфигурацију.

sudo systemctl reload httpd.service

Отворите своју веб локацију преко ХТТПС протокола у свом веб претраживачу. Да бисте верификовали ТЛС 1.3, можете да користите алатке за развој претраживача или ССЛ Лабс услугу. Снимци екрана испод показују Цхроме-ову безбедносну картицу са ТЛС 1.3 у акцији.

Успешно сте омогућили ТЛС 1.3 у Апацхе-у на свом ЦентОС 8 серверу. Коначна верзија ТЛС-а 1.3 дефинисана је у августу 2018. године, тако да нема бољег времена за почетак усвајања ове нове технологије.