Hoe TLS 1.3 in Apache op Fedora 30 in te schakelen

• Vereisten
• Voordat je begint
• Installeer de acme.sh-client en verkrijg een TLS-certificaat van Let's Encrypt
• Installeer Apache
• Configureer Apache voor TLS 1.3

TLS 1.3 is een versie van het Transport Layer Security (TLS) -protocol dat in 2018 werd gepubliceerd als voorgestelde standaard in RFC 8446. Het biedt beveiligings- en prestatieverbeteringen ten opzichte van zijn voorgangers.

Deze gids zal laten zien hoe je TLS 1.3 kunt inschakelen met behulp van de Apache-webserver op Fedora 30.

Vereisten

• Vultr Cloud Compute (VC2) -instantie met Fedora 30.
• Een geldige domeinnaam en correct geconfigureerde A/ AAAA/ CNAMEDNS-records voor uw domein.
• Een geldig TLS-certificaat. We zullen er een krijgen van Let's Encrypt.
• Apache-versie 2.4.36of hoger.
• OpenSSL-versie 1.1.1of hoger.

Voordat je begint

Controleer de Fedora-versie.

cat /etc/fedora-release
# Fedora release 30 (Thirty)

Maak een nieuw non-rootgebruikersaccount aan met sudotoegang en schakel ernaar.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

OPMERKING: vervang johndoedoor uw gebruikersnaam.

Stel de tijdzone in.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Zorg ervoor dat uw systeem up-to-date is.

sudo dnf check-upgrade || sudo dnf upgrade -y

Installeer de benodigde pakketten.

sudo dnf install -y socat git

Schakel SELinux en Firewall uit.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Installeer de acme.shclient en verkrijg een TLS-certificaat van Let's Encrypt

Installeer acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Controleer de versie.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Verkrijg RSA- en ECDSA-certificaten voor uw domein.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

LET OP: Vervang example.comcommando's door uw domeinnaam.

Maak verstandige mappen om uw certificaten en sleutels in op te slaan. We zullen gebruiken /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installeer en kopieer certificaten naar /etc/letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Na het uitvoeren van de bovenstaande opdrachten, bevinden uw certificaten en sleutels zich op de volgende locaties:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Installeer Apache

Apache heeft ondersteuning voor TLS 1.3 toegevoegd in versie 2.4.36. Het Fedora 30-systeem wordt geleverd met Apache en OpenSSL die standaard TLS 1.3 ondersteunen, dus het is niet nodig om een ​​aangepaste versie te bouwen.

Download en installeer de nieuwste 2.4-tak van Apache en zijn module voor SSL via de dnfpakketbeheerder.

sudo dnf install -y httpd mod_ssl

Controleer de versie.

sudo httpd -v
# Server version: Apache/2.4.39 (Fedora)
# Server built:   May  2 2019 14:50:28

Start en schakel Apache in.

sudo systemctl start httpd.service
sudo systemctl enable httpd.service

Configureer Apache voor TLS 1.3

Nu we Apache met succes hebben geïnstalleerd, zijn we klaar om het te configureren om TLS 1.3 op onze server te gaan gebruiken.

Voer sudo vim /etc/httpd/conf.d/example.com.confhet bestand uit en vul het in met de volgende basisconfiguratie.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Sla het bestand op en sluit af.

Controleer de configuratie.

sudo apachectl configtest

Laad Apache opnieuw om de nieuwe configuratie te activeren.

sudo systemctl reload httpd.service

Open uw site via HTTPS-protocol in uw webbrowser. Om TLS 1.3 te verifiëren, kunt u browserontwikkelingshulpmiddelen of SSL Labs-service gebruiken. De onderstaande screenshots tonen het beveiligingstabblad van Chrome met TLS 1.3 in actie.

Je hebt TLS 1.3 met succes ingeschakeld in Apache op je Fedora 30 server. De definitieve versie van TLS 1.3 werd gedefinieerd in augustus 2018, dus er is geen beter moment om deze nieuwe technologie te gaan gebruiken.