كيفية تمكين TLS 1.3 في Apache على CentOS 8

• المتطلبات
• قبل ان تبدأ
• قم بتثبيت عميل acme.sh واحصل على شهادة TLS من Let's Encrypt
• قم بتثبيت أباتشي
• تكوين أباتشي ل TLS 1.3

TLS 1.3 هو إصدار من بروتوكول أمان طبقة النقل (TLS) تم نشره في 2018 كمعيار مقترح في RFC 8446. وهو يوفر تحسينات في الأمان والأداء على سابقاته.

يوضح هذا الدليل كيفية تمكين TLS 1.3 باستخدام خادم الويب Apache على CentOS 8.

المتطلبات

• مثيل Vultr Cloud Compute (VC2) الذي يعمل على CentOS 8.
• اسم مجال صالح وسجلات DNS / A/ تكوينها بشكل صحيح للمجال الخاص بك.AAAACNAME
• شهادة TLS صالحة. سنحصل على واحد من Let's Encrypt.
• إصدار أباتشي 2.4.36أو أكبر.
• إصدار OpenSSL 1.1.1أو أحدث.

قبل ان تبدأ

تحقق من إصدار CentOS.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

قم بإنشاء non-rootحساب مستخدم جديد له sudoحق الوصول والتبديل إليه.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

ملاحظة: استبدل johndoeباسم المستخدم الخاص بك.

قم بإعداد المنطقة الزمنية.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

تأكد من أن نظامك محدث.

sudo yum update

قم بتثبيت الحزم المطلوبة.

sudo yum install -y socat git

قم بتعطيل SELinux وجدار الحماية.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

قم بتثبيت acme.shالعميل والحصول على شهادة TLS من Let's Encrypt

قم بتثبيت acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

التحقق من إصدار.

/etc/letsencrypt/acme.sh --version
# v2.8.2

احصل على شهادات RSA و ECDSA لنطاقك.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ملاحظة: استبدل example.comالأوامر باسم المجال الخاص بك.

قم بإنشاء أدلة معقولة لتخزين لوحات المفاتيح والمفاتيح الخاصة بك. سوف نستخدمها /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

قم بتثبيت ونسخ الشهادات إلى / etc / allowencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

بعد تشغيل الأوامر أعلاه ، ستكون الشهادات والمفاتيح الخاصة بك في المواقع التالية:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

قم بتثبيت أباتشي

أضاف Apache دعمًا لـ TLS 1.3 في الإصدار 2.4.36. يأتي نظام CentOS 8 مع Apache و OpenSSL التي تدعم TLS 1.3 من خارج الصندوق ، لذلك ليست هناك حاجة لبناء نسخة مخصصة.

قم بتنزيل وتثبيت أحدث إصدار 2.4 من Apache ووحدته الخاصة بـ SSL عبر yumمدير الحزم.

sudo yum install -y httpd mod_ssl

التحقق من إصدار.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

ابدأ وتمكين Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

تكوين أباتشي ل TLS 1.3

الآن بعد أن نجحنا في تثبيت Apache ، نحن مستعدون لتهيئته لبدء استخدام TLS 1.3 على خادمنا.

تشغيل sudo vim /etc/httpd/conf.d/example.com.conf، وملء الملف بالتكوين الأساسي التالي.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

احفظ الملف واخرج مع :+ W+ Q.

تحقق من التكوين.

sudo apachectl configtest

أعد تحميل Apache لتنشيط التكوين الجديد.

sudo systemctl reload httpd.service

افتح موقعك عبر بروتوكول HTTPS في متصفح الويب الخاص بك. للتحقق من TLS 1.3 ، يمكنك استخدام أدوات مطور المتصفح أو خدمة SSL Labs. تعرض لقطات الشاشة أدناه علامة تبويب أمان Chrome مع TLS 1.3 قيد التشغيل.

لقد قمت بتمكين TLS 1.3 بنجاح في Apache على خادم CentOS 8. تم تحديد الإصدار النهائي من TLS 1.3 في أغسطس 2018 ، لذلك ليس هناك وقت أفضل لبدء اعتماد هذه التكنولوجيا الجديدة.