Jak włączyć TLS 1.3 w Apache na FreeBSD 12

• Wymagania
• Zanim zaczniesz
• Zainstaluj klienta acme.sh i uzyskaj certyfikat TLS od Let's Encrypt
• Zainstaluj Apache
• Skonfiguruj Apache dla TLS 1.3

TLS 1.3 to wersja protokołu Transport Layer Security (TLS), która została opublikowana w 2018 roku jako proponowany standard w RFC 8446 . Oferuje ulepszenia w zakresie bezpieczeństwa i wydajności w porównaniu do swoich poprzedników.

Ten przewodnik pokaże, jak włączyć TLS 1.3 za pomocą serwera WWW Apache na FreeBSD 12.

Wymagania

• Instancja Vultr Cloud Compute (VC2) z systemem FreeBSD 12.
• Prawidłowa nazwa domeny i poprawnie skonfigurowane rekordy A/ AAAA/ CNAMEDNS dla Twojej domeny.
• Ważny certyfikat TLS. Dostaniemy jeden od Let's Encrypt.
• Wersja Apache 2.4.36lub nowsza.
• Wersja OpenSSL 1.1.1lub nowsza.

Zanim zaczniesz

Sprawdź wersję FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Upewnij się, że twój system FreeBSD jest aktualny.

freebsd-update fetch install
pkg update && pkg upgrade -y

Zainstaluj niezbędne pakiety, jeśli nie są obecne w twoim systemie.

pkg install -y sudo vim unzip wget bash socat git

Utwórz nowe konto użytkownika z preferowaną nazwą użytkownika (użyjemy johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Uruchom visudopolecenie i usuń komentarz z %wheel ALL=(ALL) ALLwiersza, aby umożliwić członkom wheelgrupy wykonanie dowolnego polecenia.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Teraz przejdź do nowo utworzonego użytkownika za pomocą su.

su - johndoe

UWAGA: Zamień na johndoeswoją nazwę użytkownika.

Ustaw strefę czasową.

sudo tzsetup

Zainstaluj acme.shklienta i uzyskaj certyfikat TLS od Let's Encrypt

Zainstaluj acme.sh.

sudo pkg install -y acme.sh

Sprawdź wersję.

acme.sh --version
# v2.7.9

Uzyskaj certyfikaty RSA i ECDSA dla swojej domeny.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

UWAGA: Zastąp example.comw poleceniach nazwę swojej domeny.

Utwórz rozsądne katalogi do przechowywania certyfikatów i kluczy. Użyjemy /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Zainstaluj i skopiuj certyfikaty do /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Po uruchomieniu powyższych poleceń certyfikaty i klucze będą znajdować się w następujących lokalizacjach:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Zainstaluj Apache

Apache dodał obsługę TLS 1.3 w wersji 2.4.36. System FreeBSD 12 jest dostarczany z Apache i OpenSSL, które obsługują TLS 1.3 po wyjęciu z pudełka, więc nie ma potrzeby budowania niestandardowej wersji.

Pobierz i zainstaluj najnowszą gałąź Apache 2.4 za pośrednictwem pkgmenedżera pakietów.

sudo pkg install -y apache24

Sprawdź wersję.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Uruchom i włącz Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Skonfiguruj Apache dla TLS 1.3

Po pomyślnym zainstalowaniu Apache jesteśmy gotowi skonfigurować go, aby zaczął używać TLS 1.3 na naszym serwerze.

UWAGA: W FreeBSD mod_sslmoduł jest domyślnie włączony zarówno w pakiecie, jak i na porcie

Uruchom sudo vim /usr/local/etc/apache24/httpd.confi dołącz moduł SSL, usuwając komentarz LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Uruchom sudo vim /usr/local/etc/apache24/Includes/example.com.confi zapełnij plik następującą konfiguracją podstawową.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Zapisz plik i wyjdź za pomocą :+ W+ Q.

Sprawdź konfigurację.

sudo service apache24 configtest

Załaduj ponownie Apache.

sudo service apache24 reload

Otwórz witrynę za pomocą protokołu HTTPS w przeglądarce internetowej. Aby zweryfikować TLS 1.3, możesz użyć narzędzi programistycznych przeglądarki lub usługi SSL Labs. Poniższe zrzuty ekranu pokazują kartę bezpieczeństwa Chrome z działającym TLS 1.3.

Udało ci się włączyć TLS 1.3 w Apache na serwerze FreeBSD. Ostateczna wersja TLS 1.3 została zdefiniowana w sierpniu 2018 r., Więc nie ma lepszego czasu na rozpoczęcie wdrażania tej nowej technologii.