Come abilitare TLS 1.3 in Nginx su Debian 9

introduzione

TLS 1.3 è una versione del protocollo TLS (Transport Layer Security) pubblicato nel 2018 come standard proposto in RFC 8446 . Offre sicurezza e miglioramenti delle prestazioni rispetto ai suoi predecessori.

Questa guida spiega come abilitare TLS 1.3 usando il web server Nginx su Debian 9.

Requisiti

  • Versione Nginx 1.13.0o successiva.
  • Versione OpenSSL 1.1.1o successiva.
  • Istanza di Vultr Cloud Compute (VC2) che esegue Debian 9 x64 (stretch).
  • Un nome di dominio valido e record DNS A/ AAAA/ correttamente configurati CNAMEper il tuo dominio.
  • Un certificato TLS valido. Ne avremo uno da Let's Encrypt.

Prima di iniziare

Controlla la versione di Debian.

lsb_release -ds
# Debian GNU/Linux 9.9 (stretch)

Assicurati che il tuo sistema sia aggiornato.

apt update && apt upgrade -y

Installa i pacchetti necessari.

apt install -y git unzip curl sudo socat build-essential

Crea un nuovo account utente non root con sudoaccesso e passa ad esso.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

NOTA: sostituisci johndoecon il tuo nome utente.

Imposta il fuso orario.

sudo dpkg-reconfigure tzdata

Installa il client Acme.sh e ottieni un certificato TLS da Let's Encrypt

Scaricare e installare Acme.sh .

sudo mkdir /etc/letsencrypt
sudo git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Controlla la versione

/etc/letsencrypt/acme.sh --version
# v2.8.2

Ottieni i certificati RSA ed ECDSA per il tuo dominio.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

NOTA: sostituisci example.comcon il tuo nome di dominio.

Dopo aver eseguito i comandi precedenti, i certificati e le chiavi sono accessibili nei seguenti percorsi:

  • RSA :/etc/letsencrypt/example.com
  • ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Crea Nginx dalla fonte

Nginx ha aggiunto il supporto per TLS 1.3 nella versione 1.13.0. Sulla maggior parte delle distribuzioni Linux, incluso Debian 9, Nginx è costruito con la versione OpenSSL precedente, che non supporta TLS 1.3. Di conseguenza, abbiamo bisogno della nostra build Nginx personalizzata collegata alla versione OpenSSL 1.1.1, che include il supporto per TLS 1.3.

Scarica l'ultima versione mainline del codice sorgente di Nginx ed estrailo.

wget https://nginx.org/download/nginx-1.17.0.tar.gz && tar zxvf nginx-1.17.0.tar.gz

Scarica il codice sorgente OpenSSL 1.1.1c ed estrailo.

# OpenSSL version 1.1.1c
wget https://www.openssl.org/source/openssl-1.1.1c.tar.gz && tar xzvf openssl-1.1.1c.tar.gz

Elimina tutti i .tar.gzfile, poiché non sono più necessari.

rm -rf *.tar.gz

Immettere la directory di origine Nginx.

cd ~/nginx-1.17.0

Configura, compila e installa Nginx. Per semplicità, compileremo solo i moduli essenziali necessari per il funzionamento di TLS 1.3. Se hai bisogno di una build completa di Nginx, puoi leggere questa guida Vultr sulla compilazione di Nginx.

./configure --prefix=/etc/nginx \
            --sbin-path=/usr/sbin/nginx \
            --modules-path=/usr/lib/nginx/modules \
            --conf-path=/etc/nginx/nginx.conf \
            --error-log-path=/var/log/nginx/error.log \
            --pid-path=/var/run/nginx.pid \
            --lock-path=/var/run/nginx.lock \
            --user=nginx \
            --group=nginx \
            --build=Debian \
            --builddir=nginx-1.17.0 \
            --http-log-path=/var/log/nginx/access.log \
            --http-client-body-temp-path=/var/cache/nginx/client_temp \
            --http-proxy-temp-path=/var/cache/nginx/proxy_temp \
            --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
            --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
            --http-scgi-temp-path=/var/cache/nginx/scgi_temp \
            --with-compat \
            --with-http_ssl_module \
            --with-http_v2_module \
            --with-openssl=../openssl-1.1.1c \
            --with-openssl-opt=no-nextprotoneg \
            --without-http_rewrite_module \
            --without-http_gzip_module

make
sudo make install

Crea un gruppo di sistema e un utente Nginx.

sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx

Collegamento simbolico /usr/lib/nginx/modulesa /etc/nginx/modules. Quest'ultimo è un posto standard per i moduli Nginx.

sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules

Crea directory cache Nginx e imposta le autorizzazioni appropriate.

sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*

Controlla la versione di Nginx.

sudo nginx -V

# nginx version: nginx/1.17.0 (Debian)
# built by gcc 6.3.0 20170516 (Debian 6.3.0-18+deb9u1)
# built with OpenSSL 1.1.1c  28 May 2019
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .

Creare un file di unità systemd Nginx.

sudo vim /etc/systemd/system/nginx.service

Popolare il file con la seguente configurazione.

[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

Avvia e abilita Nginx.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Creare conf.d, sites-availablee sites-enabledle directory in /etc/nginx.

sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}

Esegui sudo vim /etc/nginx/nginx.confe aggiungi le due direttive seguenti alla fine del file, subito prima della chiusura }.

    . . .
    . . .
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*.conf;
}

Salvare il file e uscire con :+ W+ Q.

Configura Nginx per TLS 1.3

Ora che abbiamo creato con successo Nginx, siamo pronti a configurarlo per iniziare a utilizzare TLS 1.3 sul nostro server.

Esegui sudo vim /etc/nginx/conf.d/example.com.confe popola il file con la seguente configurazione.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Salvare il file e uscire con :+ W+ Q.

Si noti il ​​nuovo TLSv1.3parametro della ssl_protocolsdirettiva. Questo parametro è necessario per abilitare TLS 1.3.

Controlla la configurazione.

sudo nginx -t

Ricarica Nginx.

sudo systemctl reload nginx.service

Per verificare TLS 1.3, è possibile utilizzare gli strumenti di sviluppo del browser o il servizio SSL Labs. Le schermate seguenti mostrano la scheda di sicurezza di Chrome che indica che TLS 1.3 funziona.

Come abilitare TLS 1.3 in Nginx su Debian 9

Come abilitare TLS 1.3 in Nginx su Debian 9

Congratulazioni! TLS 1.3 è stato abilitato correttamente sul proprio server Debian 9.



Leave a Comment

Lintelligenza artificiale può combattere con un numero crescente di attacchi ransomware?

Lintelligenza artificiale può combattere con un numero crescente di attacchi ransomware?

Gli attacchi ransomware sono in aumento, ma l'intelligenza artificiale può aiutare ad affrontare l'ultimo virus informatico? L'intelligenza artificiale è la risposta? Leggi qui sai è AI boone o bane

ReactOS: è questo il futuro di Windows?

ReactOS: è questo il futuro di Windows?

ReactOS, un sistema operativo open source e gratuito è qui con l'ultima versione. Può essere sufficiente alle esigenze degli utenti Windows moderni e abbattere Microsoft? Scopriamo di più su questo vecchio stile, ma un'esperienza del sistema operativo più recente.

Rimani connesso tramite lapp desktop WhatsApp 24*7

Rimani connesso tramite lapp desktop WhatsApp 24*7

Whatsapp ha finalmente lanciato l'app desktop per utenti Mac e Windows. Ora puoi accedere facilmente a Whatsapp da Windows o Mac. Disponibile per Windows 8+ e Mac OS 10.9+

In che modo lintelligenza artificiale può portare lautomazione dei processi al livello successivo?

In che modo lintelligenza artificiale può portare lautomazione dei processi al livello successivo?

Leggi questo per sapere come l'intelligenza artificiale sta diventando popolare tra le aziende di piccole dimensioni e come sta aumentando le probabilità di farle crescere e dare un vantaggio ai loro concorrenti.

Laggiornamento del supplemento macOS Catalina 10.15.4 sta causando più problemi che risolverli

Laggiornamento del supplemento macOS Catalina 10.15.4 sta causando più problemi che risolverli

Recentemente Apple ha rilasciato macOS Catalina 10.15.4 un aggiornamento supplementare per risolvere i problemi, ma sembra che l'aggiornamento stia causando più problemi che portano al bricking delle macchine mac. Leggi questo articolo per saperne di più

13 strumenti commerciali per lestrazione dei dati dai Big Data

13 strumenti commerciali per lestrazione dei dati dai Big Data

13 strumenti commerciali per l'estrazione dei dati dai Big Data

Che cosè un file system di journaling e come funziona?

Che cosè un file system di journaling e come funziona?

Il nostro computer memorizza tutti i dati in un modo organizzato noto come file system di journaling. È un metodo efficiente che consente al computer di cercare e visualizzare i file non appena si preme search.https://wethegeek.com/?p=94116&preview=true

Singolarità tecnologica: un lontano futuro della civiltà umana?

Singolarità tecnologica: un lontano futuro della civiltà umana?

Man mano che la scienza si evolve a un ritmo rapido, assumendo gran parte dei nostri sforzi, aumentano anche i rischi di sottoporci a una singolarità inspiegabile. Leggi, cosa potrebbe significare per noi la singolarità.

Uno sguardo a 26 tecniche di analisi dei Big Data: Parte 1

Uno sguardo a 26 tecniche di analisi dei Big Data: Parte 1

Uno sguardo a 26 tecniche di analisi dei Big Data: Parte 1

Limpatto dellintelligenza artificiale nella sanità 2021

Limpatto dellintelligenza artificiale nella sanità 2021

L'intelligenza artificiale nell'assistenza sanitaria ha compiuto grandi passi avanti negli ultimi decenni. Pertanto, il futuro dell'IA in sanità continua a crescere giorno dopo giorno.