Cara Mengaktifkan TLS 1.3 di Apache di CentOS 8

• Keperluan
• Sebelum awak bermula
• Pasang klien acme.sh dan dapatkan sijil TLS dari Let's Encrypt
• Pasang Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Transport Layer Security (TLS) yang diterbitkan pada tahun 2018 sebagai cadangan standard dalam RFC 8446. Ia menawarkan peningkatan keselamatan dan prestasi berbanding pendahulunya.

Panduan ini akan menunjukkan cara mengaktifkan TLS 1.3 menggunakan pelayan web Apache di CentOS 8.

Keperluan

• Vultr Cloud Compute (VC2) misalnya menjalankan CentOS 8.
• Nama domain yang sah dan rekod A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan betul untuk domain anda.
• Sijil TLS yang sah. Kami akan mendapat satu daripada Let's Encrypt.
• Versi Apache 2.4.36atau yang lebih besar.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum awak bermula

Semak versi CentOS.

cat /etc/centos-release
# CentOS Linux release 8.0.1905 (Core)

Buat non-rootakaun pengguna baru dengan sudoakses dan beralih kepadanya.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

CATATAN: Ganti johndoedengan nama pengguna anda.

Sediakan zon waktu.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Pastikan sistem anda terkini.

sudo yum update

Pasang pakej yang diperlukan.

sudo yum install -y socat git

Lumpuhkan SELinux dan Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Pasang acme.shklien dan dapatkan sijil TLS dari Let's Encrypt

Pasang acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Semak versi.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Dapatkan sijil RSA dan ECDSA untuk domain anda.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Gantikan example.comarahan dengan nama domain anda.

Buat direktori yang masuk akal untuk menyimpan sijil dan kunci anda. Kami akan menggunakannya /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Pasang dan salin sijil kepada / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Selepas menjalankan arahan di atas, sijil dan kunci anda akan berada di lokasi berikut:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Pasang Apache

Apache menambah sokongan untuk TLS 1.3 dalam versi 2.4.36. Sistem CentOS 8 dilengkapi dengan Apache dan OpenSSL yang menyokong TLS 1.3 daripada kotak, jadi tidak perlu membina versi tersuai.

Muat turun dan pasang Apache versi 2.4 terkini dan modulnya untuk SSL melalui yumpengurus pakej.

sudo yum install -y httpd mod_ssl

Semak versi.

sudo httpd -v
# Server version: Apache/2.4.37 (centos)
# Server built:   Jul  30 2019 19:56:12

Mulakan dan aktifkan Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurasikan Apache untuk TLS 1.3

Sekarang bahawa kami telah berjaya memasang Apache, kami bersedia untuk mengkonfigurasinya untuk mula menggunakan TLS 1.3 pada pelayan kami.

Jalankan sudo vim /etc/httpd/conf.d/example.com.conf, dan isikan fail dengan konfigurasi asas berikut.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Simpan fail dan keluar dengan :+ W+ Q.

Periksa konfigurasi.

sudo apachectl configtest

Muat semula Apache untuk mengaktifkan konfigurasi baru.

sudo systemctl reload httpd.service

Buka laman web anda melalui protokol HTTPS dalam pelayar web anda. Untuk mengesahkan TLS 1.3, anda boleh menggunakan alat penyemak imbas atau perkhidmatan Lab SSL. Petikan di bawah menunjukkan tab keselamatan Chrome dengan tindakan TLS 1.3.

Anda telah berjaya mendayakan TLS 1.3 di Apache pada pelayan CentOS 8 anda. Versi terakhir TLS 1.3 telah ditentukan pada bulan Ogos 2018, jadi tidak ada waktu yang lebih baik untuk mulai menggunakan teknologi baru ini.