Hoe TLS 1.3 in Apache op FreeBSD 12 in te schakelen

• Vereisten
• Voordat je begint
• Installeer de acme.sh-client en verkrijg een TLS-certificaat van Let's Encrypt
• Installeer Apache
• Configureer Apache voor TLS 1.3

TLS 1.3 is een versie van het Transport Layer Security (TLS) -protocol dat in 2018 werd gepubliceerd als voorgestelde standaard in RFC 8446 . Het biedt beveiliging en prestatieverbeteringen ten opzichte van zijn voorgangers.

Deze gids laat zien hoe u TLS 1.3 kunt inschakelen met de Apache-webserver op FreeBSD 12.

Vereisten

• Vultr Cloud Compute (VC2) -instantie met FreeBSD 12.
• Een geldige domeinnaam en correct geconfigureerde A/ AAAA/ CNAMEDNS-records voor uw domein.
• Een geldig TLS-certificaat. We zullen er een krijgen van Let's Encrypt.
• Apache-versie 2.4.36of hoger.
• OpenSSL-versie 1.1.1of hoger.

Voordat je begint

Controleer de FreeBSD-versie.

uname -ro
# FreeBSD 12.0-RELEASE

Zorg ervoor dat uw FreeBSD-systeem up-to-date is.

freebsd-update fetch install
pkg update && pkg upgrade -y

Installeer de benodigde pakketten als ze niet aanwezig zijn op uw systeem.

pkg install -y sudo vim unzip wget bash socat git

Maak een nieuw gebruikersaccount aan met uw favoriete gebruikersnaam (we zullen gebruiken johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Voer de visudoopdracht uit en maak een commentaar op de %wheel ALL=(ALL) ALLregel, zodat leden van de wheelgroep elke opdracht kunnen uitvoeren.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Schakel nu over naar uw nieuw aangemaakte gebruiker met su.

su - johndoe

OPMERKING: vervang johndoedoor uw gebruikersnaam.

Stel de tijdzone in.

sudo tzsetup

Installeer de acme.shclient en verkrijg een TLS-certificaat van Let's Encrypt

Installeer acme.sh.

sudo pkg install -y acme.sh

Controleer de versie.

acme.sh --version
# v2.7.9

Verkrijg RSA- en ECDSA-certificaten voor uw domein.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

LET OP: Vervang example.comcommando's door uw domeinnaam.

Maak verstandige mappen om uw certificaten en sleutels in op te slaan. We zullen gebruiken /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installeer en kopieer certificaten naar /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Na het uitvoeren van de bovenstaande opdrachten, bevinden uw certificaten en sleutels zich op de volgende locaties:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Installeer Apache

Apache heeft ondersteuning voor TLS 1.3 toegevoegd in versie 2.4.36. Het FreeBSD 12-systeem wordt geleverd met Apache en OpenSSL die out-of-the-box TLS 1.3 ondersteunen, dus het is niet nodig om een ​​aangepaste versie te bouwen.

Download en installeer de nieuwste 2.4-tak van Apache via de pkgpakketbeheerder.

sudo pkg install -y apache24

Controleer de versie.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Start en schakel Apache in.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Configureer Apache voor TLS 1.3

Nu we Apache met succes hebben geïnstalleerd, zijn we klaar om het te configureren om TLS 1.3 op onze server te gaan gebruiken.

OPMERKING: In FreeBSD is de mod_sslmodule standaard ingeschakeld in zowel het pakket als de poort

Voer sudo vim /usr/local/etc/apache24/httpd.confde SSL-module uit en voeg deze toe door commentaar te verwijderen LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Voer sudo vim /usr/local/etc/apache24/Includes/example.com.confhet bestand uit en vul het in met de volgende basisconfiguratie.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Sla het bestand op en sluit af met :+ W+ Q.

Controleer de configuratie.

sudo service apache24 configtest

Herlaad Apache.

sudo service apache24 reload

Open uw site via HTTPS-protocol in uw webbrowser. Om TLS 1.3 te verifiëren, kunt u browserontwikkelingshulpmiddelen of SSL Labs-service gebruiken. De onderstaande screenshots tonen het beveiligingstabblad van Chrome met TLS 1.3 in actie.

U hebt TLS 1.3 met succes ingeschakeld in Apache op uw FreeBSD-server. De definitieve versie van TLS 1.3 werd gedefinieerd in augustus 2018, dus er is geen beter moment om deze nieuwe technologie te gaan gebruiken.