كيفية تمكين TLS 1.3 في Apache على Debian 10

• المتطلبات
• قبل ان تبدأ
• قم بتثبيت عميل acme.sh واحصل على شهادة TLS من Let's Encrypt
• قم بتثبيت أباتشي
• تكوين أباتشي ل TLS 1.3

TLS 1.3 هو إصدار من بروتوكول أمان طبقة النقل (TLS) تم نشره في 2018 كمعيار مقترح في RFC 8446. وهو يوفر تحسينات في الأمان والأداء على سابقاته.

يوضح هذا الدليل كيفية تمكين TLS 1.3 باستخدام خادم الويب Apache على Debian 10.

المتطلبات

• نسخة Vultr Cloud Compute (VC2) التي تعمل بنظام Debian 10 (Buster).
• اسم مجال صالح وسجلات DNS / A/ تكوينها بشكل صحيح للمجال الخاص بك.AAAACNAME
• شهادة TLS صالحة. سنحصل على واحد من Let's Encrypt.
• إصدار أباتشي 2.4.36أو أكبر.
• إصدار OpenSSL 1.1.1أو أحدث.

قبل ان تبدأ

تحقق من إصدار دبيان.

lsb_release -ds
# Debian GNU/Linux 10 (buster)

قم بإنشاء non-rootحساب مستخدم جديد له sudoحق الوصول والتبديل إليه.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

ملاحظة : استبدل johndoeباسم المستخدم الخاص بك .

قم بإعداد المنطقة الزمنية.

sudo dpkg-reconfigure tzdata

تأكد من أن نظامك محدث.

sudo apt update && sudo apt upgrade -y

قم بتثبيت الحزم المطلوبة.

sudo apt install -y zip unzip curl wget git socat

قم بتثبيت acme.shالعميل والحصول على شهادة TLS من Let's Encrypt

قم بتثبيت acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

التحقق من إصدار.

/etc/letsencrypt/acme.sh --version
# v2.8.2

احصل على شهادات RSA و ECDSA لنطاقك.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ملاحظة: استبدل example.comالأوامر باسم المجال الخاص بك.

قم بإنشاء أدلة معقولة لتخزين لوحات المفاتيح والمفاتيح الخاصة بك. سوف نستخدمها /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

قم بتثبيت ونسخ الشهادات إلى / etc / allowencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

بعد تشغيل الأوامر أعلاه ، ستكون الشهادات والمفاتيح الخاصة بك في المواقع التالية:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

قم بتثبيت أباتشي

أضاف Apache دعمًا لـ TLS 1.3 في الإصدار 2.4.36. يأتي نظام Debian 10 مع Apache و OpenSSL اللذين يدعمان TLS 1.3 من خارج الصندوق ، لذلك ليست هناك حاجة لبناء نسخة مخصصة.

قم بتنزيل وتثبيت أحدث إصدار 2.4 من Apache عبر aptمدير الحزم.

sudo apt install -y apache2

التحقق من إصدار.

sudo apache2 -v
# Server version: Apache/2.4.38 (Debian)
# Server built:   2019-04-07T18:15:40

تكوين أباتشي ل TLS 1.3

الآن بعد أن نجحنا في تثبيت Apache ، نحن مستعدون لتهيئته لبدء استخدام TLS 1.3 على خادمنا.

أولاً ، قم بتمكين وحدة SSL.

sudo a2enmod ssl

أعد تشغيل Apache.

sudo systemctl restart apache2

تشغيل sudo vim /etc/apache2/sites-available/example.com.conf، وملء الملف بالتكوين الأساسي التالي.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

احفظ الملف واخرج.

قم بتنشيط ملف الت��وين الجديد عن طريق ربط الملف sites-enabledبالدليل.

sudo a2ensite example.com.conf

تحقق من التكوين.

sudo apachectl configtest

أعد تحميل Apache.

sudo systemctl reload apache2

افتح موقعك عبر بروتوكول HTTPS في متصفح الويب الخاص بك. للتحقق من TLS 1.3 ، يمكنك استخدام أدوات مطور المتصفح أو خدمة SSL Labs. تعرض لقطات الشاشة أدناه علامة تبويب أمان Chrome مع TLS 1.3 قيد التشغيل.

لقد نجحت في تمكين TLS 1.3 في Apache على خادم Debian 10 الخاص بك. تم تحديد الإصدار النهائي من TLS 1.3 في أغسطس 2018 ، لذلك ليس هناك وقت أفضل لبدء اعتماد هذه التكنولوجيا الجديدة.