كيفية تمكين TLS 1.3 في Apache على FreeBSD 12

• المتطلبات
• قبل ان تبدأ
• قم بتثبيت عميل acme.sh واحصل على شهادة TLS من Let's Encrypt
• قم بتثبيت أباتشي
• تكوين أباتشي ل TLS 1.3

TLS 1.3 هو إصدار من بروتوكول أمان طبقة النقل (TLS) تم نشره في 2018 كمعيار مقترح في RFC 8446 . يوفر تحسينات في الأمان والأداء على سابقاته.

يوضح هذا الدليل كيفية تمكين TLS 1.3 باستخدام خادم الويب Apache على FreeBSD 12.

المتطلبات

• مثيل Vultr Cloud Compute (VC2) الذي يعمل بنظام FreeBSD 12.
• اسم مجال صالح وسجلات DNS / A/ تكوينها بشكل صحيح للمجال الخاص بك.AAAACNAME
• شهادة TLS صالحة. سنحصل على واحد من Let's Encrypt.
• إصدار أباتشي 2.4.36أو أكبر.
• إصدار OpenSSL 1.1.1أو أحدث.

قبل ان تبدأ

تحقق من إصدار FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

تأكد من تحديث نظام FreeBSD الخاص بك.

freebsd-update fetch install
pkg update && pkg upgrade -y

قم بتثبيت الحزم الضرورية إذا لم تكن موجودة على نظامك.

pkg install -y sudo vim unzip wget bash socat git

قم بإنشاء حساب مستخدم جديد باسم المستخدم المفضل لديك (سوف نستخدمه johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

قم بتشغيل visudoالأمر وإلغاء تعليق %wheel ALL=(ALL) ALLالسطر للسماح لأعضاء wheelالمجموعة بتنفيذ أي أمر.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

الآن ، قم بالتبديل إلى المستخدم الذي تم إنشاؤه حديثًا باستخدام su.

su - johndoe

ملاحظة: استبدل johndoeباسم المستخدم الخاص بك.

قم بإعداد المنطقة الزمنية.

sudo tzsetup

قم بتثبيت acme.shالعميل والحصول على شهادة TLS من Let's Encrypt

التثبيت acme.sh.

sudo pkg install -y acme.sh

التحقق من إصدار.

acme.sh --version
# v2.7.9

احصل على شهادات RSA و ECDSA لنطاقك.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ملاحظة: استبدل example.comالأوامر باسم المجال الخاص بك.

قم بإنشاء أدلة معقولة لتخزين لوحات المفاتيح والمفاتيح الخاصة بك. سوف نستخدمها /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

تثبيت ونسخ الشهادات إلى /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

بعد تشغيل الأوامر أعلاه ، ستكون الشهادات والمفاتيح الخاصة بك في المواقع التالية:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

قم بتثبيت أباتشي

أضاف Apache دعمًا لـ TLS 1.3 في الإصدار 2.4.36. يأتي نظام FreeBSD 12 مع Apache و OpenSSL التي تدعم TLS 1.3 من خارج الصندوق ، لذلك ليس هناك حاجة لبناء نسخة مخصصة.

قم بتنزيل وتثبيت أحدث إصدار 2.4 من Apache عبر pkgمدير الحزم.

sudo pkg install -y apache24

التحقق من إصدار.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

ابدأ وتمكين Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

تكوين أباتشي ل TLS 1.3

الآن بعد أن نجحنا في تثبيت Apache ، نحن مستعدون لتهيئته لبدء استخدام TLS 1.3 على خادمنا.

ملاحظة: في FreeBSD ، mod_sslيتم تمكين الوحدة بشكل افتراضي في كل من الحزمة والمنفذ

قم بتشغيل sudo vim /usr/local/etc/apache24/httpd.confوحدة SSL وتضمينها بدون تعليق LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

تشغيل sudo vim /usr/local/etc/apache24/Includes/example.com.conf، وملء الملف بالتكوين الأساسي التالي.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

احفظ الملف واخرج مع :+ W+ Q.

تحقق من التكوين.

sudo service apache24 configtest

أعد تحميل Apache.

sudo service apache24 reload

افتح موقعك عبر بروتوكول HTTPS في متصفح الويب الخاص بك. للتحقق من TLS 1.3 ، يمكنك استخدام أدوات مطور المتصفح أو خدمة SSL Labs. تعرض لقطات الشاشة أدناه علامة تبويب أمان Chrome مع TLS 1.3 قيد التشغيل.

لقد قمت بتمكين TLS 1.3 بنجاح في Apache على خادم FreeBSD. تم تحديد الإصدار النهائي من TLS 1.3 في أغسطس 2018 ، لذلك ليس هناك وقت أفضل لبدء اعتماد هذه التكنولوجيا الجديدة.