FreeBSD 12 पर Nginx में TLS 1.3 को कैसे सक्षम करें

• आवश्यकताएँ
• शुरू करने से पहले
• Acme.sh क्लाइंट इंस्टॉल करें और लेट्स एनक्रिप्ट से टीएलएस सर्टिफिकेट प्राप्त करें
• Nginx स्थापित करें
• Nginx कॉन्फ़िगर करें

टीएलएस 1.3 ट्रांसपोर्ट लेयर सिक्योरिटी (टीएलएस) प्रोटोकॉल का एक संस्करण है जो 2018 में आरएफसी 4446 में प्रस्तावित मानक के रूप में प्रकाशित हुआ था । यह अपने पूर्ववर्तियों पर सुरक्षा और प्रदर्शन सुधार प्रदान करता है।

यह गाइड प्रदर्शित करेगा कि FreeBSD 12 पर Nginx वेब सर्वर का उपयोग करके TLS 1.3 को कैसे सक्षम किया जाए।

आवश्यकताएँ

• Vultr Cloud Compute (VC2) उदाहरण FreeBSD 12 चला रहा है।
• एक मान्य डोमेन नाम और आपके डोमेन के लिए ठीक से कॉन्फ़िगर A/ AAAA/ CNAMEDNS रिकॉर्ड।
• एक वैध टीएलएस प्रमाण पत्र। लेट्स एनक्रिप्ट से हमें एक मिलेगा।
• Nginx संस्करण 1.13.0या अधिक से अधिक।
• ओपनएसएसएल संस्करण 1.1.1या अधिक से अधिक।

शुरू करने से पहले

FreeBSD संस्करण की जाँच करें।

uname -ro
# FreeBSD 12.0-RELEASE

सुनिश्चित करें कि आपका FreeBSD सिस्टम अप टू डेट है।

freebsd-update fetch install
pkg update && pkg upgrade -y

यदि वे आपके सिस्टम पर मौजूद नहीं हैं तो आवश्यक पैकेज स्थापित करें।

pkg install -y sudo vim unzip wget bash socat git

अपने पसंदीदा उपयोगकर्ता नाम (हम उपयोग करेंगे johndoe) के साथ एक नया उपयोगकर्ता खाता बनाएँ ।

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

समूह के सदस्यों को किसी भी कमांड को निष्पादित करने की अनुमति देने के लिए, visudoकमांड चलाएं और %wheel ALL=(ALL) ALLलाइन को अनकम्प्लीट करें wheel।

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

अब, अपने नए बनाए गए उपयोगकर्ता के साथ स्विच करें su।

su - johndoe

नोट: अपने उपयोगकर्ता नाम के साथ बदलें johndoe।

टाइमजोन सेट करें।

sudo tzsetup

Acme.sh क्लाइंट इंस्टॉल करें और लेट्स एनक्रिप्ट से टीएलएस सर्टिफिकेट प्राप्त करें

स्थापित करें acme.sh।

sudo pkg install -y acme.sh

संस्करण की जाँच करें।

acme.sh --version
# v2.7.9

अपने डोमेन के लिए RSA और ECDSA प्रमाणपत्र प्राप्त करें।

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

नोट: अपने डोमेन नाम के साथ कमांड में बदलें example.com।

निर्देशिका बनाएँ अपने समारोहों और कुंजियों को संग्रहीत करने के लिए। हम उपयोग करेंगे /etc/letsencrypt।

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

/etc/letsencryptनिर्देशिका में प्रमाणपत्र स्थापित और कॉपी करें ।

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

उपरोक्त आदेशों को चलाने के बाद, आपके प्रमाणपत्र और कुंजियाँ निम्नलिखित स्थानों पर होंगी:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Nginx स्थापित करें

Nginx ने संस्करण 1.13.0 में TLS 1.3 के लिए समर्थन जोड़ा। FreeBSD 12 सिस्टम Nginx और OpenSSL के साथ आता है जो TLS को बॉक्स से 1.3 का समर्थन करता है, इसलिए कस्टम संस्करण बनाने की कोई आवश्यकता नहीं है।

pkgपैकेज प्रबंधक के माध्यम से Nginx के नवीनतम मेनलाइन संस्करण को डाउनलोड और इंस्टॉल करें ।

sudo pkg install -y nginx-devel

संस्करण की जाँच करें।

nginx -v
# nginx version: nginx/1.15.8

ओपनएसएसएल संस्करण की जांच करें जिसके खिलाफ नग्नेक्स संकलित किया गया था।

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Nginx को प्रारंभ और सक्षम करें।

sudo sysrc nginx_enable=yes
sudo service nginx start

Nginx कॉन्फ़िगर करें

अब जब हमने Nginx को सफलतापूर्वक स्थापित कर लिया है, हम अपने सर्वर पर TLS 1.3 का उपयोग शुरू करने के लिए इसे उचित कॉन्फ़िगरेशन के साथ कॉन्फ़िगर करने के लिए तैयार हैं।

भागो sudo vim /usr/local/etc/nginx/example.com.confआदेश, और निम्न कॉन्फ़िगरेशन के साथ फ़ाइल को पॉप्युलेट।

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

फ़ाइल और साथ बाहर निकलने को बचाने :+ W+ Q।

अब हमें example.com.confमुख्य nginx.confफाइल में शामिल करने की आवश्यकता है ।

sudo vim /usr/local/etc/nginx/nginx.confनिम्न पंक्ति को चलाएं और http {}ब्लॉक में जोड़ें।

include example.com.conf;

निर्देश के नए TLSv1.3पैरामीटर पर ध्यान दें ssl_protocols। यह पैरामीटर केवल Nginx सर्वर पर TLS 1.3 को सक्षम करने के लिए आवश्यक है।

कॉन्फ़िगरेशन की जाँच करें।

sudo nginx -t

रीलोडेड नेग्नेक्स।

sudo service nginx reload

TLS 1.3 को सत्यापित करने के लिए, आप ब्राउज़र देव टूल या एसएसएल लैब्स सेवा का उपयोग कर सकते हैं। नीचे दिए गए स्क्रीनशॉट क्रोम के सुरक्षा टैब को दर्शाते हैं।

आपने अपने FreeBSD सर्वर पर Nginx में TLS 1.3 को सफलतापूर्वक सक्षम किया है। अगस्त 2018 में टीएलएस 1.3 के अंतिम संस्करण को परिभाषित किया गया था, इसलिए इस नई तकनीक को अपनाने के लिए बेहतर समय नहीं है।