Cum se activează TLS 1.3 în Apache pe FreeBSD 12

• cerinţe
• Înainte de a începe
• Instalați clientul acme.sh și obțineți un certificat TLS de la Let's Encrypt
• Instalați Apache
• Configurați Apache pentru TLS 1.3

TLS 1.3 este o versiune a protocolului Transport Layer Security (TLS) care a fost publicat în 2018 ca standard propus în RFC 8446 . Oferă îmbunătățiri de securitate și performanță față de predecesorii săi.

Acest ghid va demonstra cum să activați TLS 1.3 folosind serverul web Apache pe FreeBSD 12.

cerinţe

• Instituția Vultr Cloud Compute (VC2) care rulează FreeBSD 12.
• Un nume de domeniu valid și înregistrări A/ AAAA/ CNAMEDNS configurate corespunzător pentru domeniul dvs.
• Un certificat TLS valid. Vom primi unul de la Let's Encrypt.
• Versiunea Apache 2.4.36sau mai mare.
• Versiunea OpenSSL 1.1.1sau mai mare.

Înainte de a începe

Verificați versiunea FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Asigurați-vă că sistemul dvs. FreeBSD este actualizat.

freebsd-update fetch install
pkg update && pkg upgrade -y

Instalați pachetele necesare dacă nu sunt prezente pe sistemul dvs.

pkg install -y sudo vim unzip wget bash socat git

Creați un cont de utilizator nou cu numele de utilizator preferat (vom folosi johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Rulați visudocomanda și dezarhivați %wheel ALL=(ALL) ALLlinia pentru a permite membrilor wheelgrupului să execute orice comandă.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Acum, treceți la un utilizator nou creat cu su.

su - johndoe

NOTĂ: Înlocuiți johndoecu numele de utilizator.

Setați fusul orar.

sudo tzsetup

Instalați acme.shclientul și obțineți un certificat TLS de la Let's Encrypt

Instalați acme.sh.

sudo pkg install -y acme.sh

Verificați versiunea.

acme.sh --version
# v2.7.9

Obțineți certificate RSA și ECDSA pentru domeniul dvs.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOTĂ: Înlocuiți example.comcomenzile cu numele dvs. de domeniu.

Creați directoare sensibile pentru a stoca certificatele și cheile. Vom folosi /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Instalați și copiați certificatele în /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

După executarea comenzilor de mai sus, certificatele și cheile dvs. vor fi în următoarele locații:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Instalați Apache

Apache a adăugat suport pentru TLS 1.3 în versiunea 2.4.36. Sistemul FreeBSD 12 vine cu Apache și OpenSSL care acceptă TLS 1.3 din cutie, astfel încât nu este necesară crearea unei versiuni personalizate.

Descărcați și instalați cea mai recentă filială 2.4 din Apache prin intermediul pkgmanagerului de pachete.

sudo pkg install -y apache24

Verificați versiunea.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Porniți și activați Apache.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

Configurați Apache pentru TLS 1.3

Acum că am instalat cu succes Apache, suntem gata să-l configurăm pentru a începe să folosească TLS 1.3 pe serverul nostru.

NOTĂ: În FreeBSD, mod_sslmodulul este activat implicit atât în ​​pachet, cât și în port

Rulați sudo vim /usr/local/etc/apache24/httpd.confși includeți modulul SSL, fără a face comentarii LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Rulați sudo vim /usr/local/etc/apache24/Includes/example.com.confși populați fișierul cu următoarea configurație de bază.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Salvați fișierul și ieșiți cu :+ W+ Q.

Verificați configurația.

sudo service apache24 configtest

Reîncărcați Apache.

sudo service apache24 reload

Deschideți-vă site-ul prin protocolul HTTPS în browserul dvs. Web. Pentru a verifica TLS 1.3, puteți utiliza instrumente de browser browser sau serviciu SSL Labs. Imaginile de mai jos arată fila de securitate Chrome cu TLS 1.3 în acțiune.

Ați activat cu succes TLS 1.3 în Apache pe serverul dvs. FreeBSD. Versiunea finală a TLS 1.3 a fost definită în august 2018, deci nu există un moment mai bun pentru a începe adoptarea acestei noi tehnologii.