So aktivieren Sie TLS 1.3 in Apache unter FreeBSD 12

• Bedarf
• Bevor Sie beginnen
• Installieren Sie den acme.sh-Client und erhalten Sie ein TLS-Zertifikat von Let's Encrypt
• Installieren Sie Apache
• Konfigurieren Sie Apache für TLS 1.3

TLS 1.3 ist eine Version des TLS-Protokolls (Transport Layer Security), das 2018 als vorgeschlagener Standard in RFC 8446 veröffentlicht wurde . Es bietet Sicherheits- und Leistungsverbesserungen gegenüber seinen Vorgängern.

In diesem Handbuch wird gezeigt, wie TLS 1.3 mithilfe des Apache-Webservers unter FreeBSD 12 aktiviert wird.

Bedarf

• VC2-Instanz (Vultr Cloud Compute) mit FreeBSD 12.
• Ein gültiger Domain - Name und richtig konfigurierte A/ AAAA/ CNAMEDNS - Datensätze für Ihre Domain.
• Ein gültiges TLS-Zertifikat. Wir werden eine von Let's Encrypt bekommen.
• Apache-Version 2.4.36oder höher.
• OpenSSL-Version 1.1.1oder höher.

Bevor Sie beginnen

Überprüfen Sie die FreeBSD-Version.

uname -ro
# FreeBSD 12.0-RELEASE

Stellen Sie sicher, dass Ihr FreeBSD-System auf dem neuesten Stand ist.

freebsd-update fetch install
pkg update && pkg upgrade -y

Installieren Sie die erforderlichen Pakete, wenn sie nicht auf Ihrem System vorhanden sind.

pkg install -y sudo vim unzip wget bash socat git

Erstellen Sie ein neues Benutzerkonto mit Ihrem bevorzugten Benutzernamen (wir werden verwenden johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Führen Sie den visudoBefehl aus und kommentieren Sie die %wheel ALL=(ALL) ALLZeile aus, damit Mitglieder der wheelGruppe einen beliebigen Befehl ausführen können.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Wechseln Sie nun mit zu Ihrem neu erstellten Benutzer su.

su - johndoe

HINWEIS: Ersetzen Sie johndoedurch Ihren Benutzernamen.

Richten Sie die Zeitzone ein.

sudo tzsetup

Installieren Sie den acme.shClient und erhalten Sie ein TLS-Zertifikat von Let's Encrypt

Installieren acme.sh.

sudo pkg install -y acme.sh

Überprüfe die Version.

acme.sh --version
# v2.7.9

Erhalten Sie RSA- und ECDSA-Zertifikate für Ihre Domain.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

HINWEIS: Ersetzen Sie example.comBefehle durch Ihren Domainnamen.

Erstellen Sie sinnvolle Verzeichnisse, in denen Sie Ihre Zertifikate und Schlüssel speichern können. Wir werden verwenden /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installieren und kopieren Sie Zertifikate nach /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Nachdem Sie die obigen Befehle ausgeführt haben, befinden sich Ihre Zertifikate und Schlüssel an folgenden Orten:

• RSA:: /etc/letsencrypt/example.com
• ECC/ECDSA:: /etc/letsencrypt/example.com_ecc

Installieren Sie Apache

Apache hat Unterstützung für TLS 1.3 in Version 2.4.36 hinzugefügt. Das FreeBSD 12-System wird mit Apache und OpenSSL geliefert, die TLS 1.3 standardmäßig unterstützen, sodass keine benutzerdefinierte Version erstellt werden muss.

Laden Sie den neuesten 2.4-Zweig von Apache über den pkgPaketmanager herunter und installieren Sie ihn .

sudo pkg install -y apache24

Überprüfe die Version.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Starten und aktivieren Sie Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigurieren Sie Apache für TLS 1.3

Nachdem wir Apache erfolgreich installiert haben, können wir es so konfigurieren, dass TLS 1.3 auf unserem Server verwendet wird.

HINWEIS: In FreeBSD ist das mod_sslModul standardmäßig sowohl im Paket als auch im Port aktiviert

Führen Sie sudo vim /usr/local/etc/apache24/httpd.confdas SSL-Modul aus und schließen Sie es ein, indem Sie es auskommentieren LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Führen Sie sudo vim /usr/local/etc/apache24/Includes/example.com.confdie Datei aus und füllen Sie sie mit der folgenden Grundkonfiguration.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Speichern Sie die Datei und beenden Sie sie mit :+ W+ Q.

Überprüfen Sie die Konfiguration.

sudo service apache24 configtest

Laden Sie Apache neu.

sudo service apache24 reload

Öffnen Sie Ihre Site über das HTTPS-Protokoll in Ihrem Webbrowser. Um TLS 1.3 zu überprüfen, können Sie Browser-Entwicklungstools oder den SSL Labs-Dienst verwenden. Die folgenden Screenshots zeigen die Registerkarte "Sicherheit" von Chrome mit TLS 1.3 in Aktion.

Sie haben TLS 1.3 in Apache erfolgreich auf Ihrem FreeBSD-Server aktiviert. Die endgültige Version von TLS 1.3 wurde im August 2018 definiert, daher gibt es keinen besseren Zeitpunkt, um mit der Einführung dieser neuen Technologie zu beginnen.