Cara Mengaktifkan TLS 1.3 di Apache di Fedora 30

• Keperluan
• Sebelum awak bermula
• Pasang klien acme.sh dan dapatkan sijil TLS dari Let's Encrypt
• Pasang Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Transport Layer Security (TLS) yang diterbitkan pada tahun 2018 sebagai cadangan standard dalam RFC 8446. Ia menawarkan peningkatan keselamatan dan prestasi berbanding pendahulunya.

Panduan ini akan menunjukkan cara untuk membolehkan TLS 1.3 menggunakan pelayan web Apache pada Fedora 30.

Keperluan

• Contoh Vultr Cloud Compute (VC2) yang menjalankan Fedora 30.
• Nama domain yang sah dan rekod A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan betul untuk domain anda.
• Sijil TLS yang sah. Kami akan mendapat satu daripada Let's Encrypt.
• Versi Apache 2.4.36atau yang lebih besar.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum awak bermula

Periksa versi Fedora.

cat /etc/fedora-release
# Fedora release 30 (Thirty)

Buat non-rootakaun pengguna baru dengan sudoakses dan beralih kepadanya.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

CATATAN: Ganti johndoedengan nama pengguna anda.

Sediakan zon waktu.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Pastikan sistem anda terkini.

sudo dnf check-upgrade || sudo dnf upgrade -y

Pasang pakej yang diperlukan.

sudo dnf install -y socat git

Lumpuhkan SELinux dan Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Pasang acme.shklien dan dapatkan sijil TLS dari Let's Encrypt

Pasang acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Semak versi.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Dapatkan sijil RSA dan ECDSA untuk domain anda.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Gantikan example.comarahan dengan nama domain anda.

Buat direktori yang masuk akal untuk menyimpan sijil dan kunci anda. Kami akan menggunakannya /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Pasang dan salinan sijil kepada /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Selepas menjalankan arahan di atas, sijil dan kunci anda akan berada di lokasi berikut:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Pasang Apache

Apache menambah sokongan untuk TLS 1.3 dalam versi 2.4.36. Sistem Fedora 30 dilengkapi dengan Apache dan OpenSSL yang menyokong TLS 1.3 di luar kotak, jadi tidak perlu membuat versi khusus.

Muat turun dan pasang 2.4 cawangan terkini Apache dan modulnya untuk SSL melalui dnfpengurus pakej.

sudo dnf install -y httpd mod_ssl

Semak versi.

sudo httpd -v
# Server version: Apache/2.4.39 (Fedora)
# Server built:   May  2 2019 14:50:28

Mulakan dan aktifkan Apache.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Konfigurasikan Apache untuk TLS 1.3

Sekarang bahawa kami telah berjaya memasang Apache, kami bersedia untuk mengkonfigurasinya untuk mula menggunakan TLS 1.3 pada pelayan kami.

Jalankan sudo vim /etc/httpd/conf.d/example.com.conf, dan isikan fail dengan konfigurasi asas berikut.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Simpan fail dan keluar.

Periksa konfigurasi.

sudo apachectl configtest

Muat semula Apache untuk mengaktifkan konfigurasi baru.

sudo systemctl reload httpd.service

Buka laman web anda melalui protokol HTTPS dalam pelayar web anda. Untuk mengesahkan TLS 1.3, anda boleh menggunakan alat penyemak imbas atau perkhidmatan Lab SSL. Petikan di bawah menunjukkan tab keselamatan Chrome dengan tindakan TLS 1.3.

Anda berjaya mengaktifkan TLS 1.3 di Apache pada pelayan Fedora 30 anda. Versi terakhir TLS 1.3 telah ditentukan pada bulan Ogos 2018, jadi tidak ada waktu yang lebih baik untuk mulai menggunakan teknologi baru ini.