FreeBSD 12의 Apache에서 TLS 1.3을 활성화하는 방법

• 요구 사항
• 시작하기 전에
• acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.
• 아파치 설치
• TLS 1.3 용 Apache 구성

TLS 1.3은 2018 년 RFC 8446 에서 제안 된 표준으로 게시 된 TLS (Transport Layer Security) 프로토콜의 버전입니다 . 이전 제품보다 보안 및 성능 향상 기능을 제공합니다.

이 안내서는 FreeBSD 12에서 Apache 웹 서버를 사용하여 TLS 1.3을 활성화하는 방법을 보여줍니다.

요구 사항

• FreeBSD 12를 실행하는 Vultr Cloud Compute (VC2) 인스턴스.
• 유효한 도메인 이름과 제대로 구성 A/ AAAA/ CNAME도메인에 대한 DNS 레코드.
• 유효한 TLS 인증서 Let 's Encrypt에서 가져옵니다.
• 아파치 버전 2.4.36이상.
• OpenSSL 버전 1.1.1이상

시작하기 전에

FreeBSD 버전을 확인하십시오.

uname -ro
# FreeBSD 12.0-RELEASE

FreeBSD 시스템이 최신인지 확인하십시오.

freebsd-update fetch install
pkg update && pkg upgrade -y

필요한 패키지가 시스템에 없으면 설치하십시오.

pkg install -y sudo vim unzip wget bash socat git

선호하는 사용자 이름으로 새 사용자 계정을 만듭니다 (이용합니다 johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

그룹 구성원이 명령을 실행할 수 있도록 visudo명령을 실행하고 %wheel ALL=(ALL) ALL행의 주석을 해제하십시오 wheel.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

이제로 새로 만든 사용자로 전환하십시오 su.

su - johndoe

참고 : 대체 johndoe사용자 이름과 함께.

시간대를 설정하십시오.

sudo tzsetup

acme.sh클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.

설치하십시오 acme.sh.

sudo pkg install -y acme.sh

버전을 확인하십시오.

acme.sh --version
# v2.7.9

도메인의 RSA 및 ECDSA 인증서를 얻습니다.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

참고 : 교체 example.com도메인 이름과 명령에.

인증서와 키를 저장할 적절한 디렉토리를 만듭니다. 우리는를 사용할 것 /etc/letsencrypt입니다.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

에 인증서를 설치하고 복사하십시오 /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

위의 명령을 실행하면 인증서와 키가 다음 위치에 있습니다.

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

아파치 설치

Apache는 버전 2.4.36에서 TLS 1.3에 대한 지원을 추가했습니다. FreeBSD 12 시스템은 기본적으로 TLS 1.3을 지원하는 Apache 및 OpenSSL과 함께 제공되므로 사용자 정의 버전을 구축 할 필요가 없습니다.

pkg패키지 관리자 를 통해 최신 Apache 2.4 지점을 다운로드하여 설치하십시오 .

sudo pkg install -y apache24

버전을 확인하십시오.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Apache를 시작하고 활성화하십시오.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

TLS 1.3 용 Apache 구성

이제 Apache를 성공적으로 설치 했으므로 서버에서 TLS 1.3을 사용하도록 구성 할 준비가되었습니다.

참고 : FreeBSD에서, mod_ssl모듈은 패키지와 포트에서 기본적으로 활성화되어 있습니다

sudo vim /usr/local/etc/apache24/httpd.conf주석 처리를 제거하여 SSL 모듈을 실행 하고 포함 시키십시오 LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

를 실행 sudo vim /usr/local/etc/apache24/Includes/example.com.conf하고 파일을 다음 기본 구성으로 채 웁니다.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

파일을 저장하고 :+ W+로 종료하십시오 Q.

구성을 확인하십시오.

sudo service apache24 configtest

Apache를 다시로드하십시오.

sudo service apache24 reload

웹 브라우저에서 HTTPS 프로토콜을 통해 사이트를여십시오. TLS 1.3을 확인하기 위해 브라우저 개발 도구 또는 SSL Labs 서비스를 사용할 수 있습니다. 아래 스크린 샷은 TLS 1.3이 작동중인 Chrome의 보안 탭을 보여줍니다.

FreeBSD 서버의 Apache에서 TLS 1.3을 활성화했습니다. TLS 1.3의 최종 버전은 2018 년 8 월에 정의되었으므로이 새로운 기술을 채택하기에 더 좋은시기는 없습니다.