نحوه فعال سازی TLS 1.3 در Nginx در FreeBSD 12

• الزامات
• قبل از اینکه شروع کنی
• مشتری acme.sh را نصب کنید و گواهی TLS را از Let Encrypt دریافت کنید
• Nginx را نصب کنید
• Nginx را پیکربندی کنید

TLS 1.3 نسخه ای از پروتکل Transport Layer Security (TLS) است که در سال 2018 به عنوان استاندارد پیشنهادی در RFC 8446 منتشر شد . این سیستم امنیت و عملکرد را نسبت به پیشینیان خود بهبود می بخشد.

این راهنما نحوه فعال سازی TLS 1.3 را با استفاده از سرور وب Nginx در FreeBSD 12 نشان می دهد.

الزامات

• Vultr Cloud Compute (VC2) به طور مثال FreeBSD 12 را اجرا می کند.
• نام دامنه معتبر و سوابق A/ AAAA/ CNAMEDNS به درستی پیکربندی شده برای دامنه شما.
• یک گواهی معتبر TLS. ما یکی از Letry Encrypt را دریافت خواهیم کرد.
• نسخه Nginx 1.13.0یا بیشتر.
• نسخه OpenSSL 1.1.1یا بیشتر.

قبل از اینکه شروع کنی

نسخه FreeBSD را بررسی کنید.

uname -ro
# FreeBSD 12.0-RELEASE

اطمینان حاصل کنید که سیستم FreeBSD شما به روز شده است.

freebsd-update fetch install
pkg update && pkg upgrade -y

در صورت وجود در سیستم شما بسته های لازم را نصب کنید.

pkg install -y sudo vim unzip wget bash socat git

با نام کاربری دلخواه خود یک حساب کاربری جدید ایجاد کنید (ما از آن استفاده خواهیم کرد johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

visudoدستور را اجرا کرده و %wheel ALL=(ALL) ALLخط را از آن خارج کنید ، تا اعضای wheelگروه بتوانند هر دستور را اجرا کنند.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

اکنون با کاربر تازه ایجاد شده خود تغییر دهید su.

su - johndoe

توجه: با نام کاربری خود جایگزین johndoeکنید.

منطقه زمانی را تنظیم کنید.

sudo tzsetup

مشتری acme.sh را نصب کنید و گواهی TLS را از Let Encrypt دریافت کنید

نصب acme.sh.

sudo pkg install -y acme.sh

نسخه را بررسی کنید.

acme.sh --version
# v2.7.9

گواهینامه های RSA و ECDSA را برای دامنه خود بدست آورید.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

توجه: دستورات را با نام دامنه خود جايگزين example.comکنيد.

برای ذخیره گواهینامه ها و کلیدهای خود دایرکتوری ایجاد کنید. ما استفاده /etc/letsencryptخواهیم کرد

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

گواهینامه ها را در /etc/letsencryptفهرست راهنمایی نصب و کپی کنید .

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

بعد از اجرای دستورات فوق ، گواهینامه ها و کلیدهای شما در مکان های زیر قرار می گیرند:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Nginx را نصب کنید

Nginx پشتیبانی از TLS 1.3 را در نسخه 1.13.0 اضافه کرد. سیستم FreeBSD 12 مجهز به Nginx و OpenSSL است که TLS 1.3 را از جعبه پشتیبانی می کند ، بنابراین نیازی به ساخت نسخه سفارشی نیست.

آخرین نسخه اصلی Nginx را از طریق pkgمدیر بسته بارگیری و نصب کنید .

sudo pkg install -y nginx-devel

نسخه را بررسی کنید.

nginx -v
# nginx version: nginx/1.15.8

نسخه OpenSSL را که Nginx کامپایل شده است بررسی کنید.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Nginx را شروع و فعال کنید.

sudo sysrc nginx_enable=yes
sudo service nginx start

Nginx را پیکربندی کنید

اکنون که Nginx را با موفقیت نصب کردیم ، آماده هستیم تا آن را با پیکربندی مناسب پیکربندی کنیم تا شروع به استفاده از TLS 1.3 در سرور خود کنیم.

sudo vim /usr/local/etc/nginx/example.com.confدستور را اجرا کنید و پرونده را با پیکربندی زیر جمع کنید.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

پرونده و خروج با صرفه جویی در :+ W+ Q.

حال باید پرونده example.com.confاصلی nginx.confرا وارد کنیم.

sudo vim /usr/local/etc/nginx/nginx.confخط زیر را اجرا کرده و به http {}بلوک اضافه کنید.

include example.com.conf;

به TLSv1.3پارامتر جدید این ssl_protocolsبخشنامه توجه کنید. این پارامتر فقط برای فعال کردن TLS 1.3 در سرور Nginx ضروری است.

پیکربندی را بررسی کنید.

sudo nginx -t

بارگیری مجدد Nginx

sudo service nginx reload

برای تأیید TLS 1.3 ، می توانید از ابزار dev مرورگر یا سرویس آزمایشگاه SSL استفاده کنید. تصاویر زیر برگه امنیتی Chrome را نشان می دهد.

شما TLS 1.3 را با موفقیت در Nginx در سرور FreeBSD فعال کرده اید. نسخه نهایی TLS 1.3 در آگوست 2018 تعریف شده است ، بنابراین زمان بهتری برای شروع تصویب این فناوری جدید وجود ندارد.