Fedora 30의 Apache에서 TLS 1.3을 활성화하는 방법

• 요구 사항
• 시작하기 전에
• acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.
• 아파치 설치
• TLS 1.3 용 Apache 구성

TLS 1.3은 2018 년에 RFC 8446에서 제안 된 표준으로 발표 된 TLS (Transport Layer Security) 프로토콜의 버전입니다. 이전 버전에 비해 보안 및 성능이 향상되었습니다.

이 안내서는 Fedora 30에서 Apache 웹 서버를 사용하여 TLS 1.3을 활성화하는 방법을 보여줍니다.

요구 사항

• Fedora 30을 실행하는 Vultr Cloud Compute (VC2) 인스턴스
• 유효한 도메인 이름과 제대로 구성 A/ AAAA/ CNAME도메인에 대한 DNS 레코드.
• 유효한 TLS 인증서 Let 's Encrypt에서 가져옵니다.
• 아파치 버전 2.4.36이상.
• OpenSSL 버전 1.1.1이상

시작하기 전에

Fedora 버전을 확인하십시오.

cat /etc/fedora-release
# Fedora release 30 (Thirty)

액세스 권한이 있는 새 non-root사용자 계정을 sudo만들고 전환하십시오.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

참고 : 대체 johndoe사용자 이름과 함께.

시간대를 설정하십시오.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

시스템이 최신인지 확인하십시오.

sudo dnf check-upgrade || sudo dnf upgrade -y

필요한 패키지를 설치하십시오.

sudo dnf install -y socat git

SELinux 및 방화벽을 비활성화하십시오.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

acme.sh클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.

acme.sh를 설치하십시오.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

버전을 확인하십시오.

/etc/letsencrypt/acme.sh --version
# v2.8.2

도메인의 RSA 및 ECDSA 인증서를 얻습니다.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

참고 : 교체 example.com도메인 이름과 명령에.

인증서와 키를 저장할 적절한 디렉토리를 만듭니다. 우리는를 사용할 것 /etc/letsencrypt입니다.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

에 인증서를 설치하고 복사하십시오 /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

위의 명령을 실행하면 인증서와 키가 다음 위치에 있습니다.

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

아파치 설치

Apache는 버전 2.4.36에서 TLS 1.3에 대한 지원을 추가했습니다. Fedora 30 시스템은 기본적으로 TLS 1.3을 지원하는 Apache 및 OpenSSL과 함께 제공되므로 사용자 정의 버전을 구축 할 필요가 없습니다.

dnf패키지 관리자 를 통해 최신 2.4 분기 Apache 및 SSL 용 모듈을 다운로드하여 설치하십시오 .

sudo dnf install -y httpd mod_ssl

버전을 확인하십시오.

sudo httpd -v
# Server version: Apache/2.4.39 (Fedora)
# Server built:   May  2 2019 14:50:28

Apache를 시작하고 활성화하십시오.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

TLS 1.3 용 Apache 구성

이제 Apache를 성공적으로 설치 했으므로 서버에서 TLS 1.3을 사용하도록 구성 할 준비가되었습니다.

를 실행 sudo vim /etc/httpd/conf.d/example.com.conf하고 파일을 다음 기본 구성으로 채 웁니다.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

파일을 저장하고 종료하십시오.

구성을 확인하십시오.

sudo apachectl configtest

새 구성을 활성화하려면 Apache를 다시로드하십시오.

sudo systemctl reload httpd.service

웹 브라우저에서 HTTPS 프로토콜을 통해 사이트를여십시오. TLS 1.3을 확인하기 위해 브라우저 개발 도구 또는 SSL Labs 서비스를 사용할 수 있습니다. 아래 스크린 샷은 TLS 1.3이 작동중인 Chrome의 보안 탭을 보여줍니다.

Fedora 30 서버의 Apache에서 TLS 1.3을 활성화했습니다. TLS 1.3의 최종 버전은 2018 년 8 월에 정의되었으므로이 새로운 기술을 채택하기에 더 좋은시기는 없습니다.