Cara Mengaktifkan TLS 1.3 di Apache pada Debian 10

• Keperluan
• Sebelum awak bermula
• Pasang klien acme.sh dan dapatkan sijil TLS dari Let's Encrypt
• Pasang Apache
• Konfigurasikan Apache untuk TLS 1.3

TLS 1.3 adalah versi protokol Transport Layer Security (TLS) yang diterbitkan pada tahun 2018 sebagai cadangan standard dalam RFC 8446. Ia menawarkan peningkatan keselamatan dan prestasi berbanding pendahulunya.

Panduan ini akan menunjukkan cara untuk membolehkan TLS 1.3 menggunakan pelayan web Apache pada Debian 10.

Keperluan

• Contoh Vultr Cloud Compute (VC2) yang menjalankan Debian 10 (Buster).
• Nama domain yang sah dan rekod A/ AAAA/ CNAMEDNS yang dikonfigurasi dengan betul untuk domain anda.
• Sijil TLS yang sah. Kami akan mendapat satu daripada Let's Encrypt.
• Versi Apache 2.4.36atau yang lebih besar.
• Versi OpenSSL 1.1.1atau lebih tinggi.

Sebelum awak bermula

Semak versi Debian.

lsb_release -ds
# Debian GNU/Linux 10 (buster)

Buat non-rootakaun pengguna baru dengan sudoakses dan beralih kepadanya.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

NOTA : Gantikan johndoedengan nama pengguna anda .

Sediakan zon waktu.

sudo dpkg-reconfigure tzdata

Pastikan sistem anda terkini.

sudo apt update && sudo apt upgrade -y

Pasang pakej yang diperlukan.

sudo apt install -y zip unzip curl wget git socat

Pasang acme.shklien dan dapatkan sijil TLS dari Let's Encrypt

Pasang acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Semak versi.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Dapatkan sijil RSA dan ECDSA untuk domain anda.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Gantikan example.comarahan dengan nama domain anda.

Buat direktori yang masuk akal untuk menyimpan sijil dan kunci anda. Kami akan menggunakannya /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Pasang dan salin sijil kepada / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Selepas menjalankan arahan di atas, sijil dan kunci anda akan berada di lokasi berikut:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Pasang Apache

Apache menambah sokongan untuk TLS 1.3 dalam versi 2.4.36. Sistem Debian 10 dilengkapi dengan Apache dan OpenSSL yang menyokong TLS 1.3 di luar kotak, jadi tidak perlu membuat versi khusus.

Muat turun dan pasang cawangan 2.4 Apache terkini melalui aptpengurus pakej.

sudo apt install -y apache2

Semak versi.

sudo apache2 -v
# Server version: Apache/2.4.38 (Debian)
# Server built:   2019-04-07T18:15:40

Konfigurasikan Apache untuk TLS 1.3

Sekarang bahawa kami telah berjaya memasang Apache, kami bersedia untuk mengkonfigurasinya untuk mula menggunakan TLS 1.3 pada pelayan kami.

Pertama, aktifkan modul SSL.

sudo a2enmod ssl

Mulakan semula Apache.

sudo systemctl restart apache2

Jalankan sudo vim /etc/apache2/sites-available/example.com.conf, dan isikan fail dengan konfigurasi asas berikut.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Simpan fail dan keluar.

Aktifkan fail konfigurasi baru dengan menghubungkan fail ke sites-enableddirektori.

sudo a2ensite example.com.conf

Periksa konfigurasi.

sudo apachectl configtest

Muat semula Apache.

sudo systemctl reload apache2

Buka laman web anda melalui protokol HTTPS dalam pelayar web anda. Untuk mengesahkan TLS 1.3, anda boleh menggunakan alat penyemak imbas atau perkhidmatan Lab SSL. Petikan di bawah menunjukkan tab keselamatan Chrome dengan tindakan TLS 1.3.

Anda berjaya mengaktifkan TLS 1.3 di Apache pada pelayan Debian 10 anda. Versi terakhir TLS 1.3 telah ditentukan pada bulan Ogos 2018, jadi tidak ada waktu yang lebih baik untuk mulai menggunakan teknologi baru ini.