Comment activer TLS 1.3 dans Nginx sur Fedora 29

• introduction
• Exigences
• Avant que tu commences
• Installez le client Acme.sh et obtenez le certificat TLS de Let's Encrypt
• Installer Nginx
• Configurer Nginx

introduction

TLS 1.3 est une version du protocole TLS (Transport Layer Security) qui a été publiée en 2018 en tant que norme proposée dans la RFC 8446 . Il offre des améliorations de sécurité et de performances par rapport à ses prédécesseurs.

Ce guide vous montrera comment activer TLS 1.3 à l'aide du serveur Web Nginx sur Fedora 29.

Exigences

• Version Nginx 1.13.0ou supérieure.
• Version OpenSSL 1.1.1ou supérieure.
• Instance Vultr Cloud Compute (VC2) exécutant Fedora 29.
• Un nom de domaine valide et des enregistrements A/ AAAA/ CNAMEDNS correctement configurés pour votre domaine.
• Un certificat TLS valide. Nous en obtiendrons un de Let's Encrypt.

Avant que tu commences

Vérifiez la version Fedora.

cat /etc/fedora-release
# Fedora release 29 (Twenty Nine)

Créez un nouveau non-rootcompte utilisateur avec sudoaccès et passez-y.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

REMARQUE: remplacez johndoepar votre nom d'utilisateur.

Configurez le fuseau horaire.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Assurez-vous que votre système est à jour.

sudo dnf check-upgrade || sudo dnf upgrade -y

Installez les packages nécessaires.

sudo dnf install -y socat git

Désactivez SELinux et le pare-feu.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Installez le client Acme.sh et obtenez le certificat TLS de Let's Encrypt

Dans ce guide, nous utiliserons le client Acme.sh pour obtenir des certificats SSL de Let's Encrypt. Vous pouvez utiliser un client que vous connaissez le mieux.

Téléchargez et installez Acme.sh .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~

Vérifiez la version.

/etc/letsencrypt/acme.sh --version
# v2.8.1

Obtenez des certificats RSA et ECDSA pour votre domaine.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

REMARQUE: remplacez example.comles commandes par votre nom de domaine.

Après avoir exécuté les commandes précédentes, vos certificats et clés seront accessibles à:

• RSA: /etc/letsencrypt/example.com.
• ECC / ECDSA: /etc/letsencrypt/example.com_ecc.

Installer Nginx

Nginx a ajouté la prise en charge de TLS 1.3 dans la version 1.13.0. Fedora 29 est livré avec Nginx et OpenSSL qui prennent en charge TLS 1.3, il n'est donc pas nécessaire de créer une version personnalisée.

Installez Nginx.

sudo dnf install -y nginx

Vérifiez la version.

nginx -v
# nginx version: nginx/1.14.2

Vérifiez la version d'OpenSSL avec laquelle Nginx a été compilé.

nginx -V
# built with OpenSSL 1.1.1b FIPS  26 Feb 2019

Démarrez et activez Nginx.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Configurer Nginx

Maintenant que nous avons installé Nginx avec succès, nous sommes prêts à le configurer avec la configuration appropriée pour commencer à utiliser TLS 1.3 sur notre serveur.

Exécutez la sudo vim /etc/nginx/conf.d/example.com.confcommande et remplissez le fichier avec la configuration suivante.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Enregistrez le fichier et quittez avec :+ W+ Q.

Remarquez le nouveau TLSv1.3paramètre de la ssl_protocolsdirective. Ce paramètre n'est nécessaire que pour activer TLS 1.3 sur Nginx.

Vérifiez la configuration.

sudo nginx -t

Recharger Nginx.

sudo systemctl reload nginx.service

Pour vérifier TLS 1.3, vous pouvez utiliser les outils de développement du navigateur ou le service SSL Labs. Les captures d'écran ci-dessous montrent l'onglet de sécurité de Chrome.

C'est tout. Vous avez réussi à activer TLS 1.3 dans Nginx sur votre serveur Fedora 29. La version finale de TLS 1.3 a été définie en août 2018, il n'y a donc pas de meilleur moment pour commencer à adopter cette nouvelle technologie.