كيفية تمكين TLS 1.3 في Apache على Fedora 30

• المتطلبات
• قبل ان تبدأ
• قم بتثبيت عميل acme.sh واحصل على شهادة TLS من Let's Encrypt
• قم بتثبيت أباتشي
• تكوين أباتشي ل TLS 1.3

TLS 1.3 هو إصدار من بروتوكول أمان طبقة النقل (TLS) تم نشره في 2018 كمعيار مقترح في RFC 8446. وهو يوفر تحسينات في الأمان والأداء على سابقاته.

يوضح هذا الدليل كيفية تمكين TLS 1.3 باستخدام خادم الويب Apache على Fedora 30.

المتطلبات

• مثيل Vultr Cloud Compute (VC2) يعمل على Fedora 30.
• اسم مجال صالح وسجلات DNS / A/ تكوينها بشكل صحيح للمجال الخاص بك.AAAACNAME
• شهادة TLS صالحة. سنحصل على واحد من Let's Encrypt.
• إصدار أباتشي 2.4.36أو أكبر.
• إصدار OpenSSL 1.1.1أو أحدث.

قبل ان تبدأ

تحقق من إصدار Fedora.

cat /etc/fedora-release
# Fedora release 30 (Thirty)

قم بإنشاء non-rootحساب مستخدم جديد له sudoحق الوصول والتبديل إليه.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

ملاحظة: استبدل johndoeباسم المستخدم الخاص بك.

قم بإعداد المنطقة الزمنية.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

تأكد من أن نظامك محدث.

sudo dnf check-upgrade || sudo dnf upgrade -y

قم بتثبيت الحزم المطلوبة.

sudo dnf install -y socat git

قم بتعطيل SELinux وجدار الحماية.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

قم بتثبيت acme.shالعميل والحصول على شهادة TLS من Let's Encrypt

قم بتثبيت acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

التحقق من إصدار.

/etc/letsencrypt/acme.sh --version
# v2.8.2

احصل على شهادات RSA و ECDSA لنطاقك.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ملاحظة: استبدل example.comالأوامر باسم المجال الخاص بك.

قم بإنشاء أدلة معقولة لتخزين لوحات المفاتيح والمفاتيح الخاصة بك. سوف نستخدمها /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

تثبيت ونسخ الشهادات إلى /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

بعد تشغيل الأوامر أعلاه ، ستكون الشهادات والمفاتيح الخاصة بك في المواقع التالية:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

قم بتثبيت أباتشي

أضاف Apache دعمًا لـ TLS 1.3 في الإصدار 2.4.36. يأتي نظام Fedora 30 مع Apache و OpenSSL اللذين يدعمان TLS 1.3 خارج الصندوق ، لذلك ليست هناك حاجة لبناء نسخة مخصصة.

قم بتنزيل وتثبيت أحدث 2.4 فرع من Apache ووحدته الخاصة بـ SSL عبر dnfمدير الحزم.

sudo dnf install -y httpd mod_ssl

التحقق من إصدار.

sudo httpd -v
# Server version: Apache/2.4.39 (Fedora)
# Server built:   May  2 2019 14:50:28

ابدأ وتمكين Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

تكوين أباتشي ل TLS 1.3

الآن بعد أن نجحنا في تثبيت Apache ، نحن مستعدون لتهيئته لبدء استخدام TLS 1.3 على خادمنا.

تشغيل sudo vim /etc/httpd/conf.d/example.com.conf، وملء الملف بالتكوين الأساسي التالي.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

احفظ الملف واخرج.

تحقق من التكوين.

sudo apachectl configtest

أعد تحميل Apache لتنشيط التكوين الجديد.

sudo systemctl reload httpd.service

افتح موقعك عبر بروتوكول HTTPS في متصفح الويب الخاص بك. للتحقق من TLS 1.3 ، يمكنك استخدام أدوات مطور المتصفح أو خدمة SSL Labs. تعرض لقطات الشاشة أدناه علامة تبويب أمان Chrome مع TLS 1.3 قيد التشغيل.

لقد قمت بتمكين TLS 1.3 بنجاح في Apache على خادم Fedora 30 الخاص بك. تم تحديد الإصدار النهائي من TLS 1.3 في أغسطس 2018 ، لذلك ليس هناك وقت أفضل لبدء اعتماد هذه التكنولوجيا الجديدة.