So aktivieren Sie TLS 1.3 in Apache unter Fedora 30

• Bedarf
• Bevor Sie beginnen
• Installieren Sie den acme.sh-Client und erhalten Sie ein TLS-Zertifikat von Let's Encrypt
• Installieren Sie Apache
• Konfigurieren Sie Apache für TLS 1.3

TLS 1.3 ist eine Version des TLS-Protokolls (Transport Layer Security), das 2018 als vorgeschlagener Standard in RFC 8446 veröffentlicht wurde. Es bietet Sicherheits- und Leistungsverbesserungen gegenüber seinen Vorgängern.

In diesem Handbuch wird gezeigt, wie TLS 1.3 mithilfe des Apache-Webservers unter Fedora 30 aktiviert wird.

Bedarf

• VC2-Instanz (Vultr Cloud Compute) mit Fedora 30.
• Ein gültiger Domain - Name und richtig konfigurierte A/ AAAA/ CNAMEDNS - Datensätze für Ihre Domain.
• Ein gültiges TLS-Zertifikat. Wir werden eine von Let's Encrypt bekommen.
• Apache-Version 2.4.36oder höher.
• OpenSSL-Version 1.1.1oder höher.

Bevor Sie beginnen

Überprüfen Sie die Fedora-Version.

cat /etc/fedora-release
# Fedora release 30 (Thirty)

Erstellen Sie ein neues non-rootBenutzerkonto mit sudoZugriff und wechseln Sie zu diesem.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

HINWEIS: Ersetzen Sie johndoedurch Ihren Benutzernamen.

Richten Sie die Zeitzone ein.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Stellen Sie sicher, dass Ihr System auf dem neuesten Stand ist.

sudo dnf check-upgrade || sudo dnf upgrade -y

Installieren Sie die benötigten Pakete.

sudo dnf install -y socat git

Deaktivieren Sie SELinux und Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Installieren Sie den acme.shClient und erhalten Sie ein TLS-Zertifikat von Let's Encrypt

Installieren Sie acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Überprüfe die Version.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Erhalten Sie RSA- und ECDSA-Zertifikate für Ihre Domain.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

HINWEIS: Ersetzen Sie example.comBefehle durch Ihren Domainnamen.

Erstellen Sie sinnvolle Verzeichnisse, in denen Sie Ihre Zertifikate und Schlüssel speichern können. Wir werden verwenden /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installieren und kopieren Sie Zertifikate nach /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Nachdem Sie die obigen Befehle ausgeführt haben, befinden sich Ihre Zertifikate und Schlüssel an folgenden Orten:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Installieren Sie Apache

Apache hat Unterstützung für TLS 1.3 in Version 2.4.36 hinzugefügt. Das Fedora 30-System wird mit Apache und OpenSSL geliefert, die TLS 1.3 sofort unterstützen, sodass keine benutzerdefinierte Version erstellt werden muss.

Laden Sie den neuesten 2.4-Zweig von Apache und sein Modul für SSL über den dnfPaketmanager herunter und installieren Sie ihn .

sudo dnf install -y httpd mod_ssl

Überprüfe die Version.

sudo httpd -v
# Server version: Apache/2.4.39 (Fedora)
# Server built:   May  2 2019 14:50:28

Starten und aktivieren Sie Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurieren Sie Apache für TLS 1.3

Nachdem wir Apache erfolgreich installiert haben, können wir es so konfigurieren, dass TLS 1.3 auf unserem Server verwendet wird.

Führen Sie sudo vim /etc/httpd/conf.d/example.com.confdie Datei aus und füllen Sie sie mit der folgenden Grundkonfiguration.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Speichern Sie die Datei und beenden Sie sie.

Überprüfen Sie die Konfiguration.

sudo apachectl configtest

Laden Sie Apache neu, um die neue Konfiguration zu aktivieren.

sudo systemctl reload httpd.service

Öffnen Sie Ihre Site über das HTTPS-Protokoll in Ihrem Webbrowser. Um TLS 1.3 zu überprüfen, können Sie Browser-Entwicklungstools oder den SSL Labs-Dienst verwenden. Die folgenden Screenshots zeigen die Registerkarte "Sicherheit" von Chrome mit TLS 1.3 in Aktion.

Sie haben TLS 1.3 in Apache erfolgreich auf Ihrem Fedora 30-Server aktiviert. Die endgültige Version von TLS 1.3 wurde im August 2018 definiert, daher gibt es keinen besseren Zeitpunkt, um mit der Einführung dieser neuen Technologie zu beginnen.