So aktivieren Sie TLS 1.3 in Nginx unter FreeBSD 12

• Bedarf
• Bevor Sie beginnen
• Installieren Sie den acme.sh-Client und erhalten Sie das TLS-Zertifikat von Let's Encrypt
• Installieren Sie Nginx
• Konfigurieren Sie Nginx

TLS 1.3 ist eine Version des TLS-Protokolls (Transport Layer Security), das 2018 als vorgeschlagener Standard in RFC 8446 veröffentlicht wurde . Es bietet Sicherheits- und Leistungsverbesserungen gegenüber seinen Vorgängern.

In diesem Handbuch wird gezeigt, wie TLS 1.3 mithilfe des Nginx-Webservers unter FreeBSD 12 aktiviert wird.

Bedarf

• VC2-Instanz (Vultr Cloud Compute) mit FreeBSD 12.
• Ein gültiger Domain - Name und richtig konfigurierte A/ AAAA/ CNAMEDNS - Datensätze für Ihre Domain.
• Ein gültiges TLS-Zertifikat. Wir werden eine von Let's Encrypt bekommen.
• Nginx-Version 1.13.0oder höher.
• OpenSSL-Version 1.1.1oder höher.

Bevor Sie beginnen

Überprüfen Sie die FreeBSD-Version.

uname -ro
# FreeBSD 12.0-RELEASE

Stellen Sie sicher, dass Ihr FreeBSD-System auf dem neuesten Stand ist.

freebsd-update fetch install
pkg update && pkg upgrade -y

Installieren Sie die erforderlichen Pakete, wenn sie nicht auf Ihrem System vorhanden sind.

pkg install -y sudo vim unzip wget bash socat git

Erstellen Sie ein neues Benutzerkonto mit Ihrem bevorzugten Benutzernamen (wir werden verwenden johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Führen Sie den visudoBefehl aus und kommentieren Sie die %wheel ALL=(ALL) ALLZeile aus, damit Mitglieder der wheelGruppe einen beliebigen Befehl ausführen können.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Wechseln Sie nun mit zu Ihrem neu erstellten Benutzer su.

su - johndoe

HINWEIS: Ersetzen Sie johndoedurch Ihren Benutzernamen.

Richten Sie die Zeitzone ein.

sudo tzsetup

Installieren Sie den acme.sh-Client und erhalten Sie das TLS-Zertifikat von Let's Encrypt

Installieren acme.sh.

sudo pkg install -y acme.sh

Überprüfe die Version.

acme.sh --version
# v2.7.9

Erhalten Sie RSA- und ECDSA-Zertifikate für Ihre Domain.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

HINWEIS: Ersetzen Sie example.comdie Befehle durch Ihren Domainnamen.

Erstellen Sie Verzeichnisse zum Speichern Ihrer Zertifikate und Schlüssel. Wir werden verwenden /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installieren und kopieren Sie Zertifikate in das /etc/letsencryptVerzeichnis.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Nachdem Sie die obigen Befehle ausgeführt haben, befinden sich Ihre Zertifikate und Schlüssel an folgenden Orten:

• RSA:: /etc/letsencrypt/example.com
• ECC/ECDSA:: /etc/letsencrypt/example.com_ecc

Installieren Sie Nginx

Nginx hat TLS 1.3 in Version 1.13.0 unterstützt. Das FreeBSD 12-System wird mit Nginx und OpenSSL geliefert, die TLS 1.3 standardmäßig unterstützen, sodass keine benutzerdefinierte Version erstellt werden muss.

Laden Sie die neueste Hauptversion von Nginx über den pkgPaketmanager herunter und installieren Sie sie .

sudo pkg install -y nginx-devel

Überprüfe die Version.

nginx -v
# nginx version: nginx/1.15.8

Überprüfen Sie die OpenSSL-Version, anhand derer Nginx kompiliert wurde.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Starten und aktivieren Sie Nginx.

sudo sysrc nginx_enable=yes
sudo service nginx start

Konfigurieren Sie Nginx

Nachdem wir Nginx erfolgreich installiert haben, können wir es mit der richtigen Konfiguration konfigurieren, um TLS 1.3 auf unserem Server zu verwenden.

Führen Sie den sudo vim /usr/local/etc/nginx/example.com.confBefehl aus und füllen Sie die Datei mit der folgenden Konfiguration.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Speichern Sie die Datei und beenden Sie sie mit :+ W+ Q.

Jetzt müssen wir example.com.confin die Hauptdatei aufnehmen nginx.conf.

Führen sudo vim /usr/local/etc/nginx/nginx.confSie die folgende Zeile aus und fügen Sie sie dem http {}Block hinzu.

include example.com.conf;

Beachten Sie den neuen TLSv1.3Parameter der ssl_protocolsDirektive. Dieser Parameter ist nur erforderlich, um TLS 1.3 auf dem Nginx-Server zu aktivieren.

Überprüfen Sie die Konfiguration.

sudo nginx -t

Laden Sie Nginx neu.

sudo service nginx reload

Um TLS 1.3 zu überprüfen, können Sie Browser-Entwicklungstools oder den SSL Labs-Dienst verwenden. Die folgenden Screenshots zeigen die Registerkarte "Sicherheit" von Chrome.

Sie haben TLS 1.3 in Nginx auf Ihrem FreeBSD-Server erfolgreich aktiviert. Die endgültige Version von TLS 1.3 wurde im August 2018 definiert, daher gibt es keinen besseren Zeitpunkt, um mit der Einführung dieser neuen Technologie zu beginnen.