FreeBSD 12のNginxでTLS 1.3を有効にする方法

• 必要条件
• あなたが始める前に
• acme.shクライアントをインストールし、Let's EncryptからTLS証明書を取得します
• Nginxをインストールする
• Nginxを構成する

TLS 1.3は、RFC 8446で提案された標準として2018年に公開されたトランスポート層セキュリティ（TLS）プロトコルのバージョンです。以前のバージョンよりもセキュリティとパフォーマンスが向上しています。

このガイドでは、FreeBSD 12でNginx Webサーバーを使用してTLS 1.3を有効にする方法を示します。

必要条件

• FreeBSD 12を実行するVultr Cloud Compute（VC2）インスタンス。
• ドメインの有効なドメイン名と適切に構成されたA/ AAAA/ CNAMEDNSレコード。
• 有効なTLS証明書。Let's Encryptから取得します。
• Nginxバージョン1.13.0以上。
• OpenSSLバージョン1.1.1以降。

あなたが始める前に

FreeBSDのバージョンを確認してください。

uname -ro
# FreeBSD 12.0-RELEASE

FreeBSDシステムが最新であることを確認します。

freebsd-update fetch install
pkg update && pkg upgrade -y

システムに存在しない場合は、必要なパッケージをインストールします。

pkg install -y sudo vim unzip wget bash socat git

希望するユーザー名で新しいユーザーアカウントを作成します（ここではを使用しますjohndoe）。

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

visudoコマンドを実行し、%wheel ALL=(ALL) ALL行のコメントを外して、wheelグループのメンバーが任意のコマンドを実行できるようにします。

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

次に、で新しく作成したユーザーに切り替えますsu。

su - johndoe

注： ユーザー名に置き換えjohndoeてください。

タイムゾーンを設定します。

sudo tzsetup

acme.shクライアントをインストールし、Let's EncryptからTLS証明書を取得します

をインストールしますacme.sh。

sudo pkg install -y acme.sh

バージョンを確認してください。

acme.sh --version
# v2.7.9

ドメインのRSAおよびECDSA証明書を取得します。

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

注： コマンドのをドメイン名に置き換えexample.comてください。

証明書とキーを格納するディレクトリを作成します。使用します/etc/letsencrypt。

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

証明書をインストールして/etc/letsencryptディレクトリにコピーします。

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

上記のコマンドを実行すると、証明書とキーは次の場所にあります。

• RSA： /etc/letsencrypt/example.com
• ECC/ECDSA： /etc/letsencrypt/example.com_ecc

Nginxをインストールする

Nginxはバージョン1.13.0でTLS 1.3のサポートを追加しました。FreeBSD 12システムには、TLS 1.3をサポートするNginxとOpenSSLが標準で付属しているため、カスタムバージョンをビルドする必要はありません。

pkgパッケージマネージャーを使用して、Nginxの最新のメインラインバージョンをダウンロードしてインストールします。

sudo pkg install -y nginx-devel

バージョンを確認してください。

nginx -v
# nginx version: nginx/1.15.8

NginxがコンパイルされたOpenSSLバージョンを確認します。

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Nginxを起動して有効にします。

sudo sysrc nginx_enable=yes
sudo service nginx start

Nginxを構成する

Nginxが正常にインストールされたので、サーバーでTLS 1.3の使用を開始するための適切な構成で構成する準備が整いました。

sudo vim /usr/local/etc/nginx/example.com.confコマンドを実行し、ファイルに次の構成を入力します。

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

でファイルして終了保存:+ W+ Q。

次にexample.com.conf、メインnginx.confファイルに含める必要があります。

sudo vim /usr/local/etc/nginx/nginx.conf次の行を実行してhttp {}ブロックに追加します。

include example.com.conf;

ディレクティブの新しいTLSv1.3パラメーターに注意してくださいssl_protocols。このパラメーターは、NginxサーバーでTLS 1.3を有効にする場合にのみ必要です。

構成を確認してください。

sudo nginx -t

Nginxをリロードします。

sudo service nginx reload

TLS 1.3を確認するには、ブラウザ開発ツールまたはSSL Labsサービスを使用できます。以下のスクリーンショットは、Chromeのセキュリティタブを示しています。

FreeBSDサーバーのNginxでTLS 1.3を正常に有効化しました。TLS 1.3の最終バージョンは2018年8月に定義されたため、この新しいテクノロジーの採用を開始する絶好の機会です。