TLS 1.3 - это версия протокола безопасности транспортного уровня (TLS), который был опубликован в 2018 году в качестве предлагаемого стандарта �� RFC 8446 . Он предлагает улучшения безопасности и производительности по сравнению со своими предшественниками.
В этом руководстве будет показано, как включить TLS 1.3 с помощью веб-сервера Nginx в Ubuntu 18.04 LTS.
Требования
- Версия Nginx
1.13.0
или выше.
- Версия OpenSSL
1.1.1
или выше.
- Экземпляр Vultr Cloud Compute (VC2) под управлением Ubuntu 18.04.
- Действительное имя домена и правильно настроенные
A
/ AAAA
/ CNAME
DNS записи для вашего домена.
- Действительный сертификат TLS. Мы получим один от Let's Encrypt.
Прежде чем вы начнете
Проверьте версию Ubuntu.
lsb_release -ds
# Ubuntu 18.04.1 LTS
Создайте новую non-root
учетную запись пользователя с sudo
доступом и переключитесь на нее.
adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe
ПРИМЕЧАНИЕ. Замените johndoe
на свое имя пользователя.
Установите часовой пояс.
sudo dpkg-reconfigure tzdata
Убедитесь, что ваша система обновлена.
sudo apt update && sudo apt upgrade -y
Установить build-essential
, socat
и git
пакеты.
sudo apt install -y build-essential socat git
Установите клиент Acme.sh и получите сертификат TLS от Let's Encrypt
Скачать и установить Acme.sh .
sudo mkdir /etc/letsencrypt
git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc
Проверьте версию.
acme.sh --version
# v2.8.0
Получите сертификаты RSA и ECDSA для вашего домена.
# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256
ПРИМЕЧАНИЕ. Замените example.com
в командах имя вашего домена.
После выполнения предыдущих команд ваши сертификаты и ключи будут доступны по адресу:
- Для RSA:
/etc/letsencrypt/example.com
каталог.
- Для ECC / ECDSA:
/etc/letsencrypt/example.com_ecc
каталог.
Сборка Nginx из исходного кода
Nginx добавил поддержку TLS 1.3 в версии 1.13.0. В большинстве дистрибутивов Linux, включая Ubuntu 18.04, Nginx построен с более старой версией OpenSSL, которая не поддерживает TLS 1.3. Следовательно, нам нужна наша собственная сборка Nginx, связанная с выпуском OpenSSL 1.1.1, который включает поддержку TLS 1.3.
Загрузите последнюю версию основного кода исходного кода Nginx и распакуйте его.
wget https://nginx.org/download/nginx-1.15.5.tar.gz && tar zxvf nginx-1.15.5.tar.gz
Загрузите исходный код OpenSSL 1.1.1 и распакуйте его.
# OpenSSL version 1.1.1
wget https://www.openssl.org/source/openssl-1.1.1.tar.gz && tar xzvf openssl-1.1.1.tar.gz
Удалите все .tar.gz
файлы, так как они больше не будут нужны.
rm -rf *.tar.gz
Введите исходный каталог Nginx.
cd ~/nginx-1.15.5
Сконфигурируйте, скомпилируйте и установите Nginx. Для простоты мы скомпилируем только те основные модули, которые необходимы для работы TLS 1.3. Если вам нужна полная сборка Nginx, вы можете прочитать это руководство Vultr о компиляции Nginx.
./configure --prefix=/etc/nginx \
--sbin-path=/usr/sbin/nginx \
--modules-path=/usr/lib/nginx/modules \
--conf-path=/etc/nginx/nginx.conf \
--error-log-path=/var/log/nginx/error.log \
--pid-path=/var/run/nginx.pid \
--lock-path=/var/run/nginx.lock \
--user=nginx \
--group=nginx \
--build=Ubuntu \
--builddir=nginx-1.15.5 \
--http-log-path=/var/log/nginx/access.log \
--http-client-body-temp-path=/var/cache/nginx/client_temp \
--http-proxy-temp-path=/var/cache/nginx/proxy_temp \
--http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
--http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
--http-scgi-temp-path=/var/cache/nginx/scgi_temp \
--with-compat \
--with-http_ssl_module \
--with-http_v2_module \
--with-openssl=../openssl-1.1.1 \
--with-openssl-opt=no-nextprotoneg \
--without-http_rewrite_module \
--without-http_gzip_module
make
sudo make install
Создайте системную группу Nginx и пользователя.
sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx
Симлинк /usr/lib/nginx/modules
на /etc/nginx/modules
каталог. etc/nginx/modules
стандартное место для модулей Nginx.
sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules
Создайте каталоги кеша Nginx и установите соответствующие разрешения.
sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*
Проверьте версию Nginx.
sudo nginx -V
# nginx version: nginx/1.15.5 (Ubuntu)
# built by gcc 7.3.0 (Ubuntu 7.3.0-27ubuntu1~18.04)
# built with OpenSSL 1.1.1 11 Sep 2018
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .
Создайте файл модуля Nginx systemd.
sudo vim /etc/systemd/system/nginx.service
Заполните файл следующей конфигурацией.
[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target
[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID
[Install]
WantedBy=multi-user.target
Запустите и включите Nginx.
sudo systemctl start nginx.service
sudo systemctl enable nginx.service
Создать conf.d
, sites-available
и sites-enabled
каталоги в /etc/nginx
каталоге.
sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}
Запустите sudo vim /etc/nginx/nginx.conf
и добавьте следующие две директивы в конец файла непосредственно перед закрытием }
.
. . .
. . .
include /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*.conf;
}
Сохраните файл и выйдите с помощью :+ W+ Q.
Теперь, когда мы успешно создали Nginx, мы готовы настроить его, чтобы начать использовать TLS 1.3 на нашем сервере.
Запустите sudo vim /etc/nginx/conf.d/example.com.conf
и заполните файл следующей конфигурацией.
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
# RSA
ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
# ECDSA
ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
}
Сохраните файл и выйдите с помощью :+ W+ Q.
Обратите внимание на новый TLSv1.3
параметр ssl_protocols
директивы. Этот параметр необходим для включения TLS 1.3.
Проверьте конфигурацию.
sudo nginx -t
Перезагрузить Nginx.
sudo systemctl reload nginx.service
Для проверки TLS 1.3 вы можете использовать инструменты разработчика браузера или службу SSL Labs. На приведенных ниже снимках экрана показана вкладка безопасности Chrome, показывающая, что TLS 1.3 работает.


Поздравляем! Вы успешно включили TLS 1.3 на своем веб-сервере Ubuntu 18.04.