Како омогућити ТЛС 1.3 у Нгинк-у на Федора 29

Увод

ТЛС 1.3 је верзија протокола Транспорт Лаиер Сецурити (ТЛС) који је објављен 2018. године као предложени стандард у РФЦ 8446 . Нуди побољшања безбедности и перформанси у односу на своје претходнике.

Овај водич ће показати како да омогућите ТЛС 1.3 користећи Нгинк веб сервер на Федора 29.

Захтеви

• Нгинк верзија 1.13.0или новија.
• ОпенССЛ верзија 1.1.1или новија.
• Вултр Цлоуд Цомпуте (ВЦ2) инстанца која покреће Федора 29.
• Важеће име домена и правилно конфигурисани A/ AAAA/ CNAMEДНС записи за ваш домен.
• Важећи ТЛС сертификат. Добићемо један од Лет'с Енцрипт.

Пре него што почнете

Проверите Федора верзију.

cat /etc/fedora-release
# Fedora release 29 (Twenty Nine)

Креирајте нови non-rootкориснички налог са sudoприступом и пређите на њега.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

НАПОМЕНА: Замените johndoeсвојим корисничким именом.

Подесите временску зону.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Уверите се да је ваш систем ажуриран.

sudo dnf check-upgrade || sudo dnf upgrade -y

Инсталирајте потребне пакете.

sudo dnf install -y socat git

Онемогућите СЕЛинук и заштитни зид.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Инсталирајте Ацме.сх клијент и набавите ТЛС сертификат од Лет'с Енцрипт

У овом водичу ћемо користити Ацме.сх клијент за добијање ССЛ сертификата од Лет'с Енцрипт. Можете користити клијента који вам је најпознатији.

Преузети и инсталирати Ацме.сх .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~

Проверите верзију.

/etc/letsencrypt/acme.sh --version
# v2.8.1

Набавите РСА и ЕЦДСА сертификате за свој домен.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

НАПОМЕНА: Замените example.comу командама именом вашег домена.

Након покретања претходних команди, ваши сертификати и кључеви ће бити доступни на:

• РСА: /etc/letsencrypt/example.com.
• ЕЦЦ/ЕЦДСА: /etc/letsencrypt/example.com_ecc.

Инсталирајте Нгинк

Нгинк је додао подршку за ТЛС 1.3 у верзији 1.13.0. Федора 29 долази са Нгинк-ом и ОпенССЛ-ом који подржавају ТЛС 1.3 из кутије, тако да нема потребе за прављењем прилагођене верзије.

Инсталирајте Нгинк.

sudo dnf install -y nginx

Проверите верзију.

nginx -v
# nginx version: nginx/1.14.2

Проверите верзију ОпенССЛ-а према којој је Нгинк компајлиран.

nginx -V
# built with OpenSSL 1.1.1b FIPS  26 Feb 2019

Покрените и омогућите Нгинк.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Конфигуришите Нгинк

Сада када смо успешно инсталирали Нгинк, спремни смо да га конфигуришемо са одговарајућом конфигурацијом да почнемо да користимо ТЛС 1.3 на нашем серверу.

Покрените sudo vim /etc/nginx/conf.d/example.com.confкоманду и попуните датотеку следећом конфигурацијом.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Сачувајте датотеку и изађите са :+ W+ Q.

Обратите пажњу на нови TLSv1.3параметар ssl_protocolsдирективе. Овај параметар је неопходан само да бисте омогућили ТЛС 1.3 на Нгинк-у.

Проверите конфигурацију.

sudo nginx -t

Поново учитај Нгинк.

sudo systemctl reload nginx.service

Да бисте верификовали ТЛС 1.3, можете да користите алатке за развој претраживача или ССЛ Лабс услугу. Снимци екрана испод показују Цхроме-ову безбедносну картицу.

То је све. Успешно сте омогућили ТЛС 1.3 у Нгинк-у на свом Федора 29 серверу. Коначна верзија ТЛС-а 1.3 дефинисана је у августу 2018. године, тако да нема бољег времена за почетак усвајања ове нове технологије.