كيفية تمكين TLS 1.3 في Nginx على FreeBSD 12

• المتطلبات
• قبل ان تبدأ
• قم بتثبيت عميل acme.sh واحصل على شهادة TLS من Let's Encrypt
• قم بتثبيت Nginx
• تكوين Nginx

TLS 1.3 هو إصدار من بروتوكول أمان طبقة النقل (TLS) تم نشره في 2018 كمعيار مقترح في RFC 8446 . يوفر تحسينات في الأمان والأداء على سابقاته.

يوضح هذا الدليل كيفية تمكين TLS 1.3 باستخدام خادم الويب Nginx على FreeBSD 12.

المتطلبات

• مثيل Vultr Cloud Compute (VC2) الذي يعمل بنظام FreeBSD 12.
• اسم مجال صالح وسجلات DNS / A/ تكوينها بشكل صحيح للمجال الخاص بك.AAAACNAME
• شهادة TLS صالحة. سنحصل على واحد من Let's Encrypt.
• إصدار Nginx 1.13.0أو أكبر.
• إصدار OpenSSL 1.1.1أو أحدث.

قبل ان تبدأ

تحقق من إصدار FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

تأكد من تحديث نظام FreeBSD الخاص بك.

freebsd-update fetch install
pkg update && pkg upgrade -y

قم بتثبيت الحزم الضرورية إذا لم تكن موجودة على نظامك.

pkg install -y sudo vim unzip wget bash socat git

قم بإنشاء حساب مستخدم جديد باسم المستخدم المفضل لديك (سوف نستخدمه johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

قم بتشغيل visudoالأمر وإلغاء تعليق %wheel ALL=(ALL) ALLالسطر ، للسماح لأعضاء wheelالمجموعة بتنفيذ أي أمر.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

الآن ، قم بال��بديل إلى المستخدم الذي تم إنشاؤه حديثًا باستخدام su.

su - johndoe

ملاحظة: استبدل johndoeباسم المستخدم الخاص بك.

قم بإعداد المنطقة الزمنية.

sudo tzsetup

قم بتثبيت عميل acme.sh واحصل على شهادة TLS من Let's Encrypt

التثبيت acme.sh.

sudo pkg install -y acme.sh

التحقق من إصدار.

acme.sh --version
# v2.7.9

احصل على شهادات RSA و ECDSA لنطاقك.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ملاحظة: استبدل example.comالأوامر باسم المجال الخاص بك.

إنشاء أدلة لتخزين لوحات المفاتيح والمفاتيح الخاصة بك. سوف نستخدم /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

تثبيت ونسخ الشهادات إلى /etc/letsencryptالدليل.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

بعد تشغيل الأوامر أعلاه ، ستكون الشهادات والمفاتيح الخاصة بك في المواقع التالية:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

قم بتثبيت Nginx

أضاف Nginx دعمًا لـ TLS 1.3 في الإصدار 1.13.0. يأتي نظام فري بي إس دي 12 مع Nginx و OpenSSL التي تدعم TLS 1.3 خارج الصندوق ، لذلك ليس هناك حاجة لبناء نسخة مخصصة.

قم بتنزيل وتثبيت أحدث إصدار رئيسي من Nginx عبر pkgمدير الحزم.

sudo pkg install -y nginx-devel

التحقق من إصدار.

nginx -v
# nginx version: nginx/1.15.8

تحقق من إصدار OpenSSL الذي تم على أساسه ترجمة Nginx.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

ابدأ وتمكين Nginx.

sudo sysrc nginx_enable=yes
sudo service nginx start

تكوين Nginx

الآن بعد أن نجحنا في تثبيت Nginx ، نحن جاهزون لتكوينه بالتهيئة المناسبة لبدء استخدام TLS 1.3 على الخادم الخاص بنا.

قم بتشغيل sudo vim /usr/local/etc/nginx/example.com.confالأمر ، وملء الملف بالتكوين التالي.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

احفظ الملف واخرج مع :+ W+ Q.

الآن نحن بحاجة إلى تضمينها example.com.confفي nginx.confالملف الرئيسي .

قم بتشغيل sudo vim /usr/local/etc/nginx/nginx.confوإضافة السطر التالي إلى http {}الكتلة.

include example.com.conf;

لاحظ TLSv1.3المعلمة الجديدة ssl_protocolsللتوجيه. هذه المعلمة ضرورية فقط لتمكين TLS 1.3 على خادم Nginx.

تحقق من التكوين.

sudo nginx -t

إعادة تحميل Nginx.

sudo service nginx reload

للتحقق من TLS 1.3 ، يمكنك استخدام أدوات مطور المتصفح أو خدمة SSL Labs. تعرض لقطات الشاشة أدناه علامة تبويب أمان Chrome.

لقد قمت بتمكين TLS 1.3 بنجاح في Nginx على خادم FreeBSD. تم تحديد الإصدار النهائي من TLS 1.3 في أغسطس 2018 ، لذلك ليس هناك وقت أفضل لبدء اعتماد هذه التكنولوجيا الجديدة.