Debian 10의 Apache에서 TLS 1.3을 활성화하는 방법

• 요구 사항
• 시작하기 전에
• acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.
• 아파치 설치
• TLS 1.3 용 Apache 구성

TLS 1.3은 2018 년에 RFC 8446에서 제안 된 표준으로 발표 된 TLS (Transport Layer Security) 프로토콜의 버전입니다. 이전 버전에 비해 보안 및 성능이 향상되었습니다.

이 안내서는 Debian 10에서 Apache 웹 서버를 사용하여 TLS 1.3을 활성화하는 방법을 보여줍니다.

요구 사항

• Debian 10 (Buster)을 실행하는 Vultr Cloud Compute (VC2) 인스턴스.
• 유효한 도메인 이름과 제대로 구성 A/ AAAA/ CNAME도메인에 대한 DNS 레코드.
• 유효한 TLS 인증서 Let 's Encrypt에서 가져옵니다.
• 아파치 버전 2.4.36이상.
• OpenSSL 버전 1.1.1이상

시작하기 전에

데비안 버전을 확인하십시오.

lsb_release -ds
# Debian GNU/Linux 10 (buster)

액세스 권한이 있는 새 non-root사용자 계정을 sudo만들고 전환하십시오.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

참고 : 대체 johndoe사용자 이름과 함께 .

시간대를 설정하십시오.

sudo dpkg-reconfigure tzdata

시스템이 최신인지 확인하십시오.

sudo apt update && sudo apt upgrade -y

필요한 패키지를 설치하십시오.

sudo apt install -y zip unzip curl wget git socat

acme.sh클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.

acme.sh를 설치하십시오.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

버전을 확인하십시오.

/etc/letsencrypt/acme.sh --version
# v2.8.2

도메인의 RSA 및 ECDSA 인증서를 얻습니다.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

참고 : 교체 example.com도메인 이름과 명령에.

인증서와 키를 저장할 적절한 디렉토리를 만듭니다. 우리는를 사용할 것 /etc/letsencrypt입니다.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

인증서를 설치하고 / etc / letsencrypt에 복사하십시오.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

위의 명령을 실행하면 인증서와 키가 다음 위치에 있습니다.

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

아파치 설치

Apache는 버전 2.4.36에서 TLS 1.3에 대한 지원을 추가했습니다. 데비안 10 시스템은 기본적으로 TLS 1.3을 지원하는 Apache 및 OpenSSL과 함께 제공되므로 사용자 정의 버전을 구축 할 필요가 없습니다.

apt패키지 관리자 를 통해 최신 Apache 2.4 지점을 다운로드하여 설치하십시오 .

sudo apt install -y apache2

버전을 확인하십시오.

sudo apache2 -v
# Server version: Apache/2.4.38 (Debian)
# Server built:   2019-04-07T18:15:40

TLS 1.3 용 Apache 구성

이제 Apache를 성공적으로 설치 했으므로 서버에서 TLS 1.3을 사용하도록 구성 할 준비가되었습니다.

먼저 SSL 모듈을 활성화하십시오.

sudo a2enmod ssl

Apache를 다시 시작하십시오.

sudo systemctl restart apache2

를 실행 sudo vim /etc/apache2/sites-available/example.com.conf하고 파일을 다음 기본 구성으로 채 웁니다.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

파일을 저장하고 종료하십시오.

파일을 sites-enabled디렉토리 에 링크하여 새 구성 파일을 활성화하십시오 .

sudo a2ensite example.com.conf

구성을 확인하십시오.

sudo apachectl configtest

Apache를 다시로드하십시오.

sudo systemctl reload apache2

웹 브라우저에서 HTTPS 프로토콜을 통해 사이트를여십시오. TLS 1.3을 확인하기 위해 브라우저 개발 도구 또는 SSL Labs 서비스를 사용할 수 있습니다. 아래 스크린 샷은 TLS 1.3이 작동중인 Chrome의 보안 탭을 보여줍니다.

데비안 10 서버의 Apache에서 TLS 1.3을 활성화했습니다. TLS 1.3의 최종 버전은 2018 년 8 월에 정의되었으므로이 새로운 기술을 채택하기에 더 좋은시기는 없습니다.