TLS 1.3 inschakelen in Apache op Debian 10

• Vereisten
• Voordat je begint
• Installeer de acme.sh-client en verkrijg een TLS-certificaat van Let's Encrypt
• Installeer Apache
• Configureer Apache voor TLS 1.3

TLS 1.3 is een versie van het Transport Layer Security (TLS) -protocol dat in 2018 werd gepubliceerd als voorgestelde standaard in RFC 8446. Het biedt beveiligings- en prestatieverbeteringen ten opzichte van zijn voorgangers.

Deze gids laat zien hoe u TLS 1.3 kunt inschakelen met de Apache-webserver op Debian 10.

Vereisten

• Vultr Cloud Compute (VC2) -instantie met Debian 10 (Buster).
• Een geldige domeinnaam en correct geconfigureerde A/ AAAA/ CNAMEDNS-records voor uw domein.
• Een geldig TLS-certificaat. We zullen er een krijgen van Let's Encrypt.
• Apache-versie 2.4.36of hoger.
• OpenSSL-versie 1.1.1of hoger.

Voordat je begint

Controleer de Debian-versie.

lsb_release -ds
# Debian GNU/Linux 10 (buster)

Maak een nieuw non-rootgebruikersaccount aan met sudotoegang en schakel ernaar.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

OPMERKING : vervang johndoedoor uw gebruikersnaam .

Stel de tijdzone in.

sudo dpkg-reconfigure tzdata

Zorg ervoor dat uw systeem up-to-date is.

sudo apt update && sudo apt upgrade -y

Installeer de benodigde pakketten.

sudo apt install -y zip unzip curl wget git socat

Installeer de acme.shclient en verkrijg een TLS-certificaat van Let's Encrypt

Installeer acme.sh.

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail your_email@example.com
cd ~
source ~/.bashrc

Controleer de versie.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Verkrijg RSA- en ECDSA-certificaten voor uw domein.

# RSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

LET OP: Vervang example.comcommando's door uw domeinnaam.

Maak verstandige mappen om uw certificaten en sleutels in op te slaan. We zullen gebruiken /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Installeer en kopieer certificaten naar / etc / letsencrypt.

# RSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo /etc/letsencrypt/acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Na het uitvoeren van de bovenstaande opdrachten, bevinden uw certificaten en sleutels zich op de volgende locaties:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Installeer Apache

Apache heeft ondersteuning voor TLS 1.3 toegevoegd in versie 2.4.36. Het Debian 10-systeem wordt geleverd met Apache en OpenSSL die out-of-the-box TLS 1.3 ondersteunen, dus het is niet nodig om een ​​aangepaste versie te bouwen.

Download en installeer de nieuwste 2.4-tak van Apache via de aptpakketbeheerder.

sudo apt install -y apache2

Controleer de versie.

sudo apache2 -v
# Server version: Apache/2.4.38 (Debian)
# Server built:   2019-04-07T18:15:40

Configureer Apache voor TLS 1.3

Nu we Apache met succes hebben geïnstalleerd, zijn we klaar om het te configureren om TLS 1.3 op onze server te gaan gebruiken.

Schakel eerst de SSL-module in.

sudo a2enmod ssl

Start Apache opnieuw.

sudo systemctl restart apache2

Voer sudo vim /etc/apache2/sites-available/example.com.confhet bestand uit en vul het in met de volgende basisconfiguratie.

<IfModule mod_ssl.c>
  <VirtualHost *:443>
    ServerName example.com

    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3

    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"

  </VirtualHost>
</IfModule>

Sla het bestand op en sluit af.

Activeer het nieuwe configuratiebestand door het bestand aan de sites-enableddirectory te koppelen .

sudo a2ensite example.com.conf

Controleer de configuratie.

sudo apachectl configtest

Herlaad Apache.

sudo systemctl reload apache2

Open uw site via HTTPS-protocol in uw webbrowser. Om TLS 1.3 te verifiëren, kunt u browserontwikkelingshulpmiddelen of SSL Labs-service gebruiken. De onderstaande screenshots tonen het beveiligingstabblad van Chrome met TLS 1.3 in actie.

U hebt TLS 1.3 met succes ingeschakeld in Apache op uw Debian 10-server. De definitieve versie van TLS 1.3 werd gedefinieerd in augustus 2018, dus er is geen beter moment om deze nieuwe technologie te gaan gebruiken.