Como ativar o TLS 1.3 no Nginx no Fedora 29

• Introdução
• Exigências
• Antes de você começar
• Instale o cliente Acme.sh e obtenha o certificado TLS em Let's Encrypt
• Instale o Nginx
• Configurar Nginx

Introdução

O TLS 1.3 é uma versão do protocolo TLS (Transport Layer Security) publicada em 2018 como um padrão proposto na RFC 8446 . Oferece melhorias de segurança e desempenho em relação aos seus antecessores.

Este guia demonstrará como habilitar o TLS 1.3 usando o servidor web Nginx no Fedora 29.

Exigências

• Versão Nginx 1.13.0ou superior.
• Versão OpenSSL 1.1.1ou superior.
• Instância do Vultr Cloud Compute (VC2) executando o Fedora 29.
• Um nome de domínio válido e registros DNS / A/ configurados corretamente para seu domínio.AAAACNAME
• Um certificado TLS válido. Obteremos um do Let's Encrypt.

Antes de você começar

Verifique a versão do Fedora.

cat /etc/fedora-release
# Fedora release 29 (Twenty Nine)

Crie uma nova non-rootconta de usuário com sudoacesso e mude para ela.

useradd -c "John Doe" johndoe && passwd johndoe
usermod -aG wheel johndoe
su - johndoe

NOTA: Substitua johndoepelo seu nome de usuário.

Configure o fuso horário.

timedatectl list-timezones
sudo timedatectl set-timezone 'Region/City'

Verifique se o seu sistema está atualizado.

sudo dnf check-upgrade || sudo dnf upgrade -y

Instale os pacotes necessários.

sudo dnf install -y socat git

Desative o SELinux e o Firewall.

sudo setenforce 0 ; sudo systemctl stop firewalld ; sudo systemctl disable firewalld

Instale o cliente Acme.sh e obtenha o certificado TLS em Let's Encrypt

Neste guia, usaremos o cliente Acme.sh para obter certificados SSL no Let's Encrypt. Você pode usar um cliente com o qual está mais familiarizado.

Baixe e instale Acme.sh .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~

Verifique a versão.

/etc/letsencrypt/acme.sh --version
# v2.8.1

Obtenha certificados RSA e ECDSA para o seu domínio.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Substitua example.comnos comandos pelo seu nome de domínio.

Após executar os comandos anteriores, seus certificados e chaves estarão acessíveis em:

• RSA: /etc/letsencrypt/example.com.
• ECC / ECDSA: /etc/letsencrypt/example.com_ecc.

Instale o Nginx

O Nginx adicionou suporte ao TLS 1.3 na versão 1.13.0. O Fedora 29 vem com o Nginx e o OpenSSL que suportam o TLS 1.3 imediatamente, portanto não há necessidade de criar uma versão personalizada.

Instale o Nginx.

sudo dnf install -y nginx

Verifique a versão.

nginx -v
# nginx version: nginx/1.14.2

Verifique a versão do OpenSSL na qual o Nginx foi compilado.

nginx -V
# built with OpenSSL 1.1.1b FIPS  26 Feb 2019

Inicie e ative o Nginx.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Configurar Nginx

Agora que instalamos o Nginx com sucesso, estamos prontos para configurá-lo com a configuração adequada para começar a usar o TLS 1.3 em nosso servidor.

Execute o sudo vim /etc/nginx/conf.d/example.com.confcomando e preencha o arquivo com a seguinte configuração.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Salve o arquivo e saia com :+ W+ Q.

Observe o novo TLSv1.3parâmetro da ssl_protocolsdiretiva. Este parâmetro é necessário apenas para ativar o TLS 1.3 no Nginx.

Verifique a configuração.

sudo nginx -t

Recarregue o Nginx.

sudo systemctl reload nginx.service

Para verificar o TLS 1.3, você pode usar as ferramentas de desenvolvimento do navegador ou o serviço SSL Labs. As capturas de tela abaixo mostram a guia de segurança do Chrome.

Isso é tudo. Você ativou com sucesso o TLS 1.3 no Nginx no seu servidor Fedora 29. A versão final do TLS 1.3 foi definida em agosto de 2018, portanto, não há melhor momento para começar a adotar esta nova tecnologia.