كيفية تمكين TLS 1.3 في Nginx على Fedora 29

• المقدمة
• المتطلبات
• قبل ان تبدأ
• قم بتثبيت عميل Acme.sh واحصل على شهادة TLS من Let's Encrypt
• قم بتثبيت Nginx
• تكوين Nginx

المقدمة

TLS 1.3 هو إصدار من بروتوكول أمان طبقة النقل (TLS) تم نشره في 2018 كمعيار مقترح في RFC 8446 . يوفر تحسينات في الأمان والأداء على سابقاته.

يوضح هذا الدليل كيفية تمكين TLS 1.3 باستخدام خادم الويب Nginx على Fedora 29.

المتطلبات

• إصدار Nginx 1.13.0أو أكبر.
• إصدار OpenSSL 1.1.1أو أحدث.
• مثيل Vultr Cloud Compute (VC2) الذي يقوم بتشغيل Fedora 29.
• اسم مجال صالح وسجلات DNS / A/ تكوينها بشكل صحيح للمجال الخاص بك.AAAACNAME
• شهادة TLS صالحة. سنحصل على واحد من Let's Encrypt.

قبل ان تبدأ

تحقق من إصدار Fedora.

cat /etc/fedora-release
# Fedora release 29 (Twenty Nine)

قم بإنشاء non-rootحساب مستخدم جديد له sudoحق الوصول والتبديل إليه.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

ملاحظة: استبدل johndoeباسم المستخدم الخاص بك.

قم بإعداد المنطقة الزمنية.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

تأكد من أن نظامك محدث.

sudo dnf check-upgrade || sudo dnf upgrade -y

قم بتثبيت الحزم المطلوبة.

sudo dnf install -y socat git

قم بتعطيل SELinux وجدار الحماية.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

قم بتثبيت عميل Acme.sh واحصل على شهادة TLS من Let's Encrypt

في هذا الدليل ، سنستخدم عميل Acme.sh للحصول على شهادات SSL من Let's Encrypt. يمكنك استخدام عميل أنت على دراية به.

تحميل وتثبيت Acme.sh .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~

التحقق من إصدار.

/etc/letsencrypt/acme.sh --version
# v2.8.1

احصل على شهادات RSA و ECDSA لنطاقك.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

ملاحظة: استبدل example.comالأوامر باسم المجال الخاص بك.

بعد تشغيل الأوامر السابقة ، يمكن الوصول إلى الشهادات والمفاتيح على:

• RSA: /etc/letsencrypt/example.com.
• ECC / ECDSA: /etc/letsencrypt/example.com_ecc.

قم بتثبيت Nginx

أضاف Nginx دعمًا لـ TLS 1.3 في الإصدار 1.13.0. يأتي Fedora 29 مزودًا بـ Nginx و OpenSSL اللذين يدعمان TLS 1.3 خارج الصندوق ، لذلك ليست هناك حاجة لإنشاء نسخة مخصصة.

قم بتثبيت Nginx.

sudo dnf install -y nginx

التحقق من إصدار.

nginx -v
# nginx version: nginx/1.14.2

تحقق من إصدار OpenSSL الذي تم على أساسه ترجمة Nginx.

nginx -V
# built with OpenSSL 1.1.1b FIPS  26 Feb 2019

ابدأ وتمكين Nginx.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

تكوين Nginx

الآن بعد أن نجحنا في تثبيت Nginx ، نحن جاهزون لتكوينه بالتهيئة المناسبة لبدء استخدام TLS 1.3 على الخادم الخاص بنا.

قم بتشغيل sudo vim /etc/nginx/conf.d/example.com.confالأمر ، وملء الملف بالتكوين التالي.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

احفظ الملف واخرج مع :+ W+ Q.

لاحظ TLSv1.3المعلمة الجديدة ssl_protocolsللتوجيه. هذه المعلمة ضرورية فقط لتمكين TLS 1.3 على Nginx.

تحقق من التكوين.

sudo nginx -t

إعادة تحميل Nginx.

sudo systemctl reload nginx.service

للتحقق من TLS 1.3 ، يمكنك استخدام أدوات مطور المتصفح أو خدمة SSL Labs. تعرض لقطات الشاشة أدناه علامة تبويب أمان Chrome.

هذا كل شئ. لقد قمت بتمكين TLS 1.3 بنجاح في Nginx على خادم Fedora 29 الخاص بك. تم تحديد الإصدار النهائي من TLS 1.3 في أغسطس 2018 ، لذلك ليس هناك وقت أفضل لبدء اعتماد هذه التكنولوجيا الجديدة.