Cara Mengaktifkan TLS 1.3 di Apache di FreeBSD 12

• Keperluan
• Sebelum awak bermula
• Pasang klien acme.sh dan dapatkan sijil TLS dari Let's Encrypt
• Pasang Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Keselamatan Layer Pengangkutan (TLS) yang diterbitkan pada 2018 sebagai standard yang dicadangkan dalam RFC 8446 . Ia menawarkan peningkatan keselamatan dan prestasi berbanding pendahulunya.

Panduan ini akan menunjukkan cara mengaktifkan TLS 1.3 menggunakan pelayan web Apache di FreeBSD 12.

Keperluan

• Contoh Vultr Cloud Compute (VC2) yang menjalankan FreeBSD 12.
• Nama domain yang sah dan rekod A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan betul untuk domain anda.
• Sijil TLS yang sah. Kami akan mendapat satu daripada Let's Encrypt.
• Versi Apache 2.4.36atau yang lebih besar.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum awak bermula

Semak versi FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Pastikan sistem FreeBSD anda terkini.

freebsd-update fetch install
pkg update && pkg upgrade -y

Pasang pakej yang diperlukan sekiranya tidak terdapat di sistem anda.

pkg install -y sudo vim unzip wget bash socat git

Buat akaun pengguna baru dengan nama pengguna pilihan anda (kami akan gunakan johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Jalankan visudoarahan dan unmentasikan %wheel ALL=(ALL) ALLbaris untuk membolehkan ahli wheelkumpulan melaksanakan sebarang arahan.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Kini, beralih kepada pengguna yang baru anda buat dengan su.

su - johndoe

CATATAN: Ganti johndoedengan nama pengguna anda.

Sediakan zon waktu.

sudo tzsetup

Pasang acme.shklien dan dapatkan sijil TLS dari Let's Encrypt

Pasang acme.sh.

sudo pkg install -y acme.sh

Semak versi.

acme.sh --version
# v2.7.9

Dapatkan sijil RSA dan ECDSA untuk domain anda.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Gantikan example.comarahan dengan nama domain anda.

Buat direktori yang masuk akal untuk menyimpan sijil dan kunci anda. Kami akan menggunakannya /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Pasang dan salinan sijil kepada /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Selepas menjalankan arahan di atas, sijil dan kunci anda akan berada di lokasi berikut:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Pasang Apache

Apache menambah sokongan untuk TLS 1.3 dalam versi 2.4.36. Sistem FreeBSD 12 dilengkapi dengan Apache dan OpenSSL yang menyokong TLS 1.3 di luar kotak, jadi tidak perlu membuat versi khusus.

Muat turun dan pasang cawangan 2.4 Apache terkini melalui pkgpengurus pakej.

sudo pkg install -y apache24

Semak versi.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Mulakan dan aktifkan Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Konfigurasikan Apache untuk TLS 1.3

Sekarang bahawa kami telah berjaya memasang Apache, kami bersedia untuk mengkonfigurasinya untuk mula menggunakan TLS 1.3 pada pelayan kami.

NOTA: Dalam FreeBSD, mod_sslmodul diaktifkan secara lalai dalam kedua-dua pakej dan pelabuhan

Jalankan sudo vim /usr/local/etc/apache24/httpd.confdan sertakan modul SSL dengan mengelirukan LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Jalankan sudo vim /usr/local/etc/apache24/Includes/example.com.conf, dan isikan fail dengan konfigurasi asas berikut.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Simpan fail dan keluar dengan :+ W+ Q.

Periksa konfigurasi.

sudo service apache24 configtest

Muat semula Apache.

sudo service apache24 reload

Buka laman web anda melalui protokol HTTPS dalam pelayar web anda. Untuk mengesahkan TLS 1.3, anda boleh menggunakan alat penyemak imbas atau perkhidmatan Lab SSL. Petikan di bawah menunjukkan tab keselamatan Chrome dengan tindakan TLS 1.3.

Anda telah berjaya mendayakan TLS 1.3 di Apache pada pelayan FreeBSD anda. Versi terakhir TLS 1.3 telah ditentukan pada bulan Ogos 2018, jadi tidak ada waktu yang lebih baik untuk mulai menggunakan teknologi baru ini.