Ubuntu 18.04 LTS에서 Nginx에서 TLS 1.3을 활성화하는 방법

• 요구 사항
• 시작하기 전에
• Acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.
• 소스에서 Nginx 빌드
• TLS 1.3에 대한 Nginx 구성

TLS 1.3은 2018 년 RFC 8446 에서 제안 된 표준으로 게시 된 TLS (Transport Layer Security) 프로토콜의 버전입니다 . 이전 제품보다 보안 및 성능 향상 기능을 제공합니다.

이 안내서는 Ubuntu 18.04 LTS에서 Nginx 웹 서버를 사용하여 TLS 1.3을 활성화하는 방법을 보여줍니다.

요구 사항

• Nginx 버전 1.13.0이상
• OpenSSL 버전 1.1.1이상
• Ubuntu 18.04를 실행하는 Vultr Cloud Compute (VC2) 인스턴스
• 유효한 도메인 이름과 제대로 구성 A/ AAAA/ CNAME도메인에 대한 DNS 레코드.
• 유효한 TLS 인증서 Let 's Encrypt에서 가져옵니다.

시작하기 전에

우분투 버전을 확인하십시오.

lsb_release -ds
# Ubuntu 18.04.1 LTS

액세스 권한이 있는 새 non-root사용자 계정을 sudo만들고 전환하십시오.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

참고 : 대체 johndoe사용자 이름과 함께.

시간대를 설정하십시오.

sudo dpkg-reconfigure tzdata

시스템이 최신인지 확인하십시오.

sudo apt update && sudo apt upgrade -y

설치 build-essential, socat및 git패키지.

sudo apt install -y build-essential socat git

Acme.sh 클라이언트를 설치하고 Let 's Encrypt에서 TLS 인증서를 얻습니다.

Acme.sh를 다운로드하여 설치 하십시오 .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

버전을 확인하십시오.

acme.sh --version
# v2.8.0

도메인의 RSA 및 ECDSA 인증서를 얻습니다.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

참고 : 교체 example.com도메인 이름과 명령에.

이전 명령을 실행하면 다음 위치에서 인증서 및 키에 액세스 할 수 있습니다.

• RSA의 경우 : /etc/letsencrypt/example.com디렉토리.
• ECC / ECDSA의 경우 : /etc/letsencrypt/example.com_ecc디렉토리.

소스에서 Nginx 빌드

Nginx는 버전 1.13.0에서 TLS 1.3에 대한 지원을 추가했습니다. Ubuntu 18.04를 포함한 대부분의 Linux 배포에서 Nginx는 TLS 1.3을 지원하지 않는 이전 OpenSSL 버전으로 빌드됩니다. 결과적으로 TLS 1.3에 대한 지원을 포함하는 OpenSSL 1.1.1 릴리스에 연결된 자체 사용자 지정 Nginx 빌드가 필요합니다.

Nginx 소스 코드의 최신 메인 라인 버전을 다운로드하여 추출하십시오.

wget https://nginx.org/download/nginx-1.15.5.tar.gz && tar zxvf nginx-1.15.5.tar.gz

OpenSSL 1.1.1 소스 코드를 다운로드하여 추출하십시오.

# OpenSSL version 1.1.1
wget https://www.openssl.org/source/openssl-1.1.1.tar.gz && tar xzvf openssl-1.1.1.tar.gz

.tar.gz더 이상 필요하지 않으므로 모든 파일을 삭제하십시오 .

rm -rf *.tar.gz

Nginx 소스 디렉토리를 입력하십시오.

cd ~/nginx-1.15.5

Nginx를 설정, 컴파일 및 설치하십시오. 편의상 TLS 1.3이 작동하는 데 필요한 필수 모듈 만 컴파일합니다. 전체 Nginx 빌드가 필요한 경우 Nginx 컴파일에 대한 이 Vultr 안내서 를 읽으십시오 .

./configure --prefix=/etc/nginx \
            --sbin-path=/usr/sbin/nginx \
            --modules-path=/usr/lib/nginx/modules \
            --conf-path=/etc/nginx/nginx.conf \
            --error-log-path=/var/log/nginx/error.log \
            --pid-path=/var/run/nginx.pid \
            --lock-path=/var/run/nginx.lock \
            --user=nginx \
            --group=nginx \
            --build=Ubuntu \
            --builddir=nginx-1.15.5 \
            --http-log-path=/var/log/nginx/access.log \
            --http-client-body-temp-path=/var/cache/nginx/client_temp \
            --http-proxy-temp-path=/var/cache/nginx/proxy_temp \
            --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
            --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
            --http-scgi-temp-path=/var/cache/nginx/scgi_temp \
            --with-compat \
            --with-http_ssl_module \
            --with-http_v2_module \
            --with-openssl=../openssl-1.1.1 \
            --with-openssl-opt=no-nextprotoneg \
            --without-http_rewrite_module \
            --without-http_gzip_module

make
sudo make install

Nginx 시스템 그룹 및 사용자를 작성하십시오.

sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx

심볼릭 링크 /usr/lib/nginx/modules로 /etc/nginx/modules디렉토리. etc/nginx/modulesNginx 모듈의 표준 위치입니다.

sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules

Nginx 캐시 디렉토리를 생성하고 적절한 권한을 설정하십시오.

sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*

Nginx 버전을 확인하십시오.

sudo nginx -V

# nginx version: nginx/1.15.5 (Ubuntu)
# built by gcc 7.3.0 (Ubuntu 7.3.0-27ubuntu1~18.04)
# built with OpenSSL 1.1.1  11 Sep 2018
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .

Nginx 시스템 단위 파일을 만듭니다.

sudo vim /etc/systemd/system/nginx.service

다음 구성으로 파일을 채우십시오.

[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

Nginx를 시작하고 활성화하십시오.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

만들기 conf.d, sites-available과 sites-enabled의 디렉토리 /etc/nginx디렉토리.

sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}

sudo vim /etc/nginx/nginx.conf다음 두 지시문을 실행 하여 파일 바로 앞에 닫으십시오 }.

    . . .
    . . .
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*.conf;
}

파일을 저장하고 :+ W+로 종료하십시오 Q.

TLS 1.3에 대한 Nginx 구성

Nginx를 성공적으로 빌드 했으므로 서버에서 TLS 1.3을 사용하도록 시작할 준비가되었습니다.

sudo vim /etc/nginx/conf.d/example.com.conf다음 구성으로 파일을 실행 하고 채우십시오.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;

  ssl_prefer_server_ciphers on;

  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
}

파일을 저장하고 :+ W+로 종료하십시오 Q.

지시문 의 새 TLSv1.3매개 변수를 확인하십시오 ssl_protocols. 이 매개 변수는 TLS 1.3을 활성화하는 데 필요합니다.

구성을 확인하십시오.

sudo nginx -t

Nginx를 다시로드하십시오.

sudo systemctl reload nginx.service

TLS 1.3을 확인하기 위해 브라우저 개발 도구 또는 SSL Labs 서비스를 사용할 수 있습니다. 아래 스크린 샷은 TLS 1.3이 작동 중임을 나타내는 Chrome의 보안 탭을 보여줍니다.

축하합니다! Ubuntu 18.04 웹 서버에서 TLS 1.3을 활성화했습니다.