FreeBSD 12의 Nginx에서 TLS 1.3을 활성화하는 방법

• 요구 사항
• 시작하기 전에
• acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.
• Nginx 설치
• Nginx 구성

TLS 1.3은 2018 년 RFC 8446 에서 제안 된 표준으로 게시 된 TLS (Transport Layer Security) 프로토콜의 버전입니다 . 이전 제품보다 보안 및 성능 향상 기능을 제공합니다.

이 안내서는 FreeBSD 12에서 Nginx 웹 서버를 사용하여 TLS 1.3을 활성화하는 방법을 보여줍니다.

요구 사항

• FreeBSD 12를 실행하는 Vultr Cloud Compute (VC2) 인스턴스.
• 유효한 도메인 이름과 제대로 구성 A/ AAAA/ CNAME도메인에 대한 DNS 레코드.
• 유효한 TLS 인증서 Let 's Encrypt에서 가져옵니다.
• Nginx 버전 1.13.0이상
• OpenSSL 버전 1.1.1이상

시작하기 전에

FreeBSD 버전을 확인하십시오.

uname -ro
# FreeBSD 12.0-RELEASE

FreeBSD 시스템이 최신인지 확인하십시오.

freebsd-update fetch install
pkg update && pkg upgrade -y

필요한 패키지가 시스템에 없으면 설치하십시오.

pkg install -y sudo vim unzip wget bash socat git

선호하는 사용자 이름으로 새 사용자 계정을 만듭니다 (이용합니다 johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

그룹 구성원이 명령을 실행할 수 있도록 visudo명령을 실행하고 %wheel ALL=(ALL) ALL행의 주석을 해제하십시오 wheel.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

이제로 새로 만든 사용자로 전환하십시오 su.

su - johndoe

참고 : 대체 johndoe사용자 이름과 함께.

시간대를 설정하십시오.

sudo tzsetup

acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.

설치하십시오 acme.sh.

sudo pkg install -y acme.sh

버전을 확인하십시오.

acme.sh --version
# v2.7.9

도메인의 RSA 및 ECDSA 인증서를 얻습니다.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

참고 : 교체 example.com도메인 이름으로 명령에.

인증서 및 키를 저장할 디렉토리를 작성하십시오. 우리는 사용할 것 /etc/letsencrypt입니다.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

인증서를 설치하고 /etc/letsencrypt디렉토리에 복사하십시오 .

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

위의 명령을 실행하면 인증서와 키가 다음 위치에 있습니다.

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Nginx 설치

Nginx는 버전 1.13.0에서 TLS 1.3에 대한 지원을 추가했습니다. FreeBSD 12 시스템은 기본적으로 TLS 1.3을 지원하는 Nginx 및 OpenSSL과 함께 제공되므로 사용자 정의 버전을 구축 할 필요가 없습니다.

pkg패키지 관리자 를 통해 최신 메인 라인 버전의 Nginx를 다운로드하여 설치하십시오 .

sudo pkg install -y nginx-devel

버전을 확인하십시오.

nginx -v
# nginx version: nginx/1.15.8

Nginx가 컴파일 된 OpenSSL 버전을 확인하십시오.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Nginx를 시작하고 활성화하십시오.

sudo sysrc nginx_enable=yes
sudo service nginx start

Nginx 구성

Nginx를 성공적으로 설치 했으므로 서버에서 TLS 1.3 사용을 시작하도록 적절한 구성으로 구성 할 준비가되었습니다.

sudo vim /usr/local/etc/nginx/example.com.conf명령을 실행하고 다음 구성으로 파일을 채우십시오.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

파일을 저장하고 :+ W+로 종료하십시오 Q.

이제 example.com.conf메인 nginx.conf파일 에 포함시켜야 합니다.

sudo vim /usr/local/etc/nginx/nginx.conf다음 줄을 실행 하여 http {}블록에 추가하십시오 .

include example.com.conf;

지시문 의 새 TLSv1.3매개 변수를 확인하십시오 ssl_protocols. 이 매개 변수는 Nginx 서버에서 TLS 1.3을 활성화하는 데만 필요합니다.

구성을 확인하십시오.

sudo nginx -t

Nginx를 다시로드하십시오.

sudo service nginx reload

TLS 1.3을 확인하기 위해 브라우저 개발 도구 또는 SSL Labs 서비스를 사용할 수 있습니다. 아래 스크린 샷은 Chrome의 보안 탭을 보여줍니다.

FreeBSD 서버의 Nginx에서 TLS 1.3을 성공적으로 활성화했습니다. TLS 1.3의 최종 버전은 2018 년 8 월에 정의되었으므로이 새로운 기술을 채택하기에 더 좋은시기는 없습니다.