Como ativar o TLS 1.3 no Nginx no Ubuntu 18.04 LTS

• Exigências
• Antes de você começar
• Instale o cliente Acme.sh e obtenha o certificado TLS em Let's Encrypt
• Compile o Nginx a partir do código-fonte
• Configurar o Nginx para TLS 1.3

O TLS 1.3 é uma versão do protocolo TLS (Transport Layer Security) publicada em 2018 como um padrão proposto na RFC 8446 . Oferece melhorias de segurança e desempenho em relação aos seus antecessores.

Este guia demonstrará como habilitar o TLS 1.3 usando o servidor da web Nginx no Ubuntu 18.04 LTS.

Exigências

• Versão Nginx 1.13.0ou superior.
• Versão OpenSSL 1.1.1ou superior.
• Instância do Vultr Cloud Compute (VC2) executando o Ubuntu 18.04.
• Um nome de domínio válido e registros DNS / A/ configurados corretamente para seu domínio.AAAACNAME
• Um certificado TLS válido. Obteremos um do Let's Encrypt.

Antes de você começar

Verifique a versão do Ubuntu.

lsb_release -ds
# Ubuntu 18.04.1 LTS

Crie uma nova non-rootconta de usuário com sudoacesso e mude para ela.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

NOTA: Substitua johndoepelo seu nome de usuário.

Configure o fuso horário.

sudo dpkg-reconfigure tzdata

Verifique se o seu sistema está atualizado.

sudo apt update && sudo apt upgrade -y

Instalar build-essential, socate gitpacotes.

sudo apt install -y build-essential socat git

Instale o cliente Acme.sh e obtenha o certificado TLS em Let's Encrypt

Baixe e instale Acme.sh .

sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Verifique a versão.

acme.sh --version
# v2.8.0

Obtenha certificados RSA e ECDSA para o seu domínio.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

NOTA: Substitua example.comnos comandos pelo seu nome de domínio.

Após executar os comandos anteriores, seus certificados e chaves estarão acessíveis em:

• Para o /etc/letsencrypt/example.comdiretório RSA:
• Para o /etc/letsencrypt/example.com_eccdiretório ECC / ECDSA:

Compile o Nginx a partir do código-fonte

O Nginx adicionou suporte ao TLS 1.3 na versão 1.13.0. Na maioria das distribuições Linux, incluindo o Ubuntu 18.04, o Nginx é construído com a versão mais antiga do OpenSSL, que não suporta o TLS 1.3. Consequentemente, precisamos de nossa própria compilação personalizada do Nginx vinculada à versão do OpenSSL 1.1.1, que inclui suporte ao TLS 1.3.

Baixe a versão principal mais recente do código fonte do Nginx e extraia-o.

wget https://nginx.org/download/nginx-1.15.5.tar.gz && tar zxvf nginx-1.15.5.tar.gz

Faça o download do código-fonte do OpenSSL 1.1.1 e extraia-o.

# OpenSSL version 1.1.1
wget https://www.openssl.org/source/openssl-1.1.1.tar.gz && tar xzvf openssl-1.1.1.tar.gz

Exclua todos os .tar.gzarquivos, pois eles não serão mais necessários.

rm -rf *.tar.gz

Digite o diretório de origem Nginx.

cd ~/nginx-1.15.5

Configure, compile e instale o Nginx. Por uma questão de simplicidade, compilaremos apenas os módulos essenciais necessários para o TLS 1.3 funcionar. Se você precisar de uma compilação completa do Nginx, poderá ler este guia do Vultr sobre a compilação do Nginx.

./configure --prefix=/etc/nginx \
            --sbin-path=/usr/sbin/nginx \
            --modules-path=/usr/lib/nginx/modules \
            --conf-path=/etc/nginx/nginx.conf \
            --error-log-path=/var/log/nginx/error.log \
            --pid-path=/var/run/nginx.pid \
            --lock-path=/var/run/nginx.lock \
            --user=nginx \
            --group=nginx \
            --build=Ubuntu \
            --builddir=nginx-1.15.5 \
            --http-log-path=/var/log/nginx/access.log \
            --http-client-body-temp-path=/var/cache/nginx/client_temp \
            --http-proxy-temp-path=/var/cache/nginx/proxy_temp \
            --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
            --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
            --http-scgi-temp-path=/var/cache/nginx/scgi_temp \
            --with-compat \
            --with-http_ssl_module \
            --with-http_v2_module \
            --with-openssl=../openssl-1.1.1 \
            --with-openssl-opt=no-nextprotoneg \
            --without-http_rewrite_module \
            --without-http_gzip_module

make
sudo make install

Crie o grupo e o usuário do sistema Nginx.

sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx

Link simbólico /usr/lib/nginx/modulespara o /etc/nginx/modulesdiretório. etc/nginx/modulesé um local padrão para os módulos Nginx.

sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules

Crie diretórios de cache do Nginx e defina as permissões apropriadas.

sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*

Verifique a versão do Nginx.

sudo nginx -V

# nginx version: nginx/1.15.5 (Ubuntu)
# built by gcc 7.3.0 (Ubuntu 7.3.0-27ubuntu1~18.04)
# built with OpenSSL 1.1.1  11 Sep 2018
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .

Crie o arquivo de unidade do sistema Nginx.

sudo vim /etc/systemd/system/nginx.service

Preencha o arquivo com a seguinte configuração.

[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

Inicie e ative o Nginx.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Criar conf.d, sites-availablee sites-enableddiretórios no /etc/nginxdiretório.

sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}

Execute sudo vim /etc/nginx/nginx.confe adicione as duas diretivas a seguir no final do arquivo, imediatamente antes do fechamento }.

    . . .
    . . .
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*.conf;
}

Salve o arquivo e saia com :+ W+ Q.

Configurar o Nginx para TLS 1.3

Agora que construímos o Nginx com sucesso, estamos prontos para configurá-lo para começar a usar o TLS 1.3 em nosso servidor.

Execute sudo vim /etc/nginx/conf.d/example.com.confe preencha o arquivo com a seguinte configuração.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;

  ssl_prefer_server_ciphers on;

  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
}

Salve o arquivo e saia com :+ W+ Q.

Observe o novo TLSv1.3parâmetro da ssl_protocolsdiretiva. Este parâmetro é necessário para ativar o TLS 1.3.

Verifique a configuração.

sudo nginx -t

Recarregue o Nginx.

sudo systemctl reload nginx.service

Para verificar o TLS 1.3, você pode usar as ferramentas de desenvolvimento do navegador ou o serviço SSL Labs. As capturas de tela abaixo mostram a guia de segurança do Chrome, que mostra que o TLS 1.3 está funcionando.

Parabéns! Você ativou o TLS 1.3 com êxito no servidor da web Ubuntu 18.04.