Как включить TLS 1.3 в Nginx на Debian 9

• Вступление
• Требования
• Прежде чем вы начнете
• Установите клиент Acme.sh и получите сертификат TLS от Let's Encrypt
• Сборка Nginx из исходного кода
• Настройте Nginx для TLS 1.3

Вступление

TLS 1.3 - это версия протокола безопасности транспортного уровня (TLS), опубликованная в 2018 году в качестве предлагаемого стандарта в RFC 8446 . Он предлагает улучшения безопасности и производительности по сравнению со своими предшественниками.

В этом руководстве объясняется, как включить TLS 1.3 с помощью веб-сервера Nginx в Debian 9.

Требования

• Версия Nginx 1.13.0или выше.
• Версия OpenSSL 1.1.1или выше.
• Экземпляр Vultr Cloud Compute (VC2) под управлением Debian 9 x64 (растяжка).
• Действительное имя домена и правильно настроенные A/ AAAA/ CNAMEDNS записи для вашего домена.
• Действительный сертификат TLS. Мы получим один от Let's Encrypt.

Прежде чем вы начнете

Проверьте версию Debian.

lsb_release -ds
# Debian GNU/Linux 9.9 (stretch)

Убедитесь, что ваша система обновлена.

apt update && apt upgrade -y

Установите необходимые пакеты.

apt install -y git unzip curl sudo socat build-essential

Создайте новую учетную запись пользователя без полномочий root sudoи перейдите на нее.

adduser johndoe --gecos "John Doe"
usermod -aG sudo johndoe
su - johndoe

ПРИМЕЧАНИЕ. Замените johndoeна свое имя пользователя.

Установите часовой пояс.

sudo dpkg-reconfigure tzdata

Установите клиент Acme.sh и получите сертификат TLS от Let's Encrypt

Скачать и установить Acme.sh .

sudo mkdir /etc/letsencrypt
sudo git clone https://github.com/Neilpang/acme.sh.git
cd acme.sh 
sudo ./acme.sh --install --home /etc/letsencrypt --accountemail [email protected]
cd ~
source ~/.bashrc

Проверьте версию.

/etc/letsencrypt/acme.sh --version
# v2.8.2

Получите сертификаты RSA и ECDSA для вашего домена.

# RSA 2048
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength 2048
# ECDSA
sudo /etc/letsencrypt/acme.sh --issue --standalone --home /etc/letsencrypt -d example.com --ocsp-must-staple --keylength ec-256

ПРИМЕЧАНИЕ. Замените example.comна свое доменное имя.

После выполнения предыдущих команд ваши сертификаты и ключи доступны в следующих местах:

• RSA :/etc/letsencrypt/example.com
• ECC / ECDSA :/etc/letsencrypt/example.com_ecc

Сборка Nginx из исходного кода

Nginx добавил поддержку TLS 1.3 в версии 1.13.0. В большинстве дистрибутивов Linux, включая Debian 9, Nginx построен с более старой версией OpenSSL, которая не поддерживает TLS 1.3. Следовательно, нам нужна наша собственная сборка Nginx, связанная с выпуском OpenSSL 1.1.1, который включает поддержку TLS 1.3.

Загрузите последнюю версию основного кода исходного кода Nginx и распакуйте его.

wget https://nginx.org/download/nginx-1.17.0.tar.gz && tar zxvf nginx-1.17.0.tar.gz

Загрузите исходный код OpenSSL 1.1.1c и распакуйте его.

# OpenSSL version 1.1.1c
wget https://www.openssl.org/source/openssl-1.1.1c.tar.gz && tar xzvf openssl-1.1.1c.tar.gz

Удалите все .tar.gzфайлы, так как они больше не нужны.

rm -rf *.tar.gz

Введите исходный каталог Nginx.

cd ~/nginx-1.17.0

Сконфигурируйте, скомпилируйте и установите Nginx. Для простоты мы скомпилируем только основные модули, необходимые для работы TLS 1.3. Если вам нужна полная сборка Nginx, вы можете прочитать это руководство Vultr о компиляции Nginx.

./configure --prefix=/etc/nginx \
            --sbin-path=/usr/sbin/nginx \
            --modules-path=/usr/lib/nginx/modules \
            --conf-path=/etc/nginx/nginx.conf \
            --error-log-path=/var/log/nginx/error.log \
            --pid-path=/var/run/nginx.pid \
            --lock-path=/var/run/nginx.lock \
            --user=nginx \
            --group=nginx \
            --build=Debian \
            --builddir=nginx-1.17.0 \
            --http-log-path=/var/log/nginx/access.log \
            --http-client-body-temp-path=/var/cache/nginx/client_temp \
            --http-proxy-temp-path=/var/cache/nginx/proxy_temp \
            --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp \
            --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp \
            --http-scgi-temp-path=/var/cache/nginx/scgi_temp \
            --with-compat \
            --with-http_ssl_module \
            --with-http_v2_module \
            --with-openssl=../openssl-1.1.1c \
            --with-openssl-opt=no-nextprotoneg \
            --without-http_rewrite_module \
            --without-http_gzip_module

make
sudo make install

Создайте системную группу Nginx и пользователя.

sudo adduser --system --home /nonexistent --shell /bin/false --no-create-home --disabled-login --disabled-password --gecos "nginx user" --group nginx

Симлинк /usr/lib/nginx/modulesна /etc/nginx/modules. Последний является стандартным местом для модулей Nginx.

sudo ln -s /usr/lib/nginx/modules /etc/nginx/modules

Создайте каталоги кеша Nginx и установите соответствующие разрешения.

sudo mkdir -p /var/cache/nginx/client_temp /var/cache/nginx/fastcgi_temp /var/cache/nginx/proxy_temp /var/cache/nginx/scgi_temp /var/cache/nginx/uwsgi_temp
sudo chmod 700 /var/cache/nginx/*
sudo chown nginx:root /var/cache/nginx/*

Проверьте версию Nginx.

sudo nginx -V

# nginx version: nginx/1.17.0 (Debian)
# built by gcc 6.3.0 20170516 (Debian 6.3.0-18+deb9u1)
# built with OpenSSL 1.1.1c  28 May 2019
# TLS SNI support enabled
# configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx . . .
# . . .

Создайте файл модуля Nginx systemd.

sudo vim /etc/systemd/system/nginx.service

Заполните файл следующей конфигурацией.

[Unit]
Description=nginx - high performance web server
Documentation=https://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPre=/usr/sbin/nginx -t -c /etc/nginx/nginx.conf
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

Запустите и включите Nginx.

sudo systemctl start nginx.service
sudo systemctl enable nginx.service

Создать conf.d, sites-availableи sites-enabledкаталоги /etc/nginx.

sudo mkdir /etc/nginx/{conf.d,sites-available,sites-enabled}

Запустите sudo vim /etc/nginx/nginx.confи добавьте следующие две директивы в конец файла непосредственно перед закрытием }.

    . . .
    . . .
    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*.conf;
}

Сохраните файл и выйдите с помощью :+ W+ Q.

Настройте Nginx для TLS 1.3

Теперь, когда мы успешно создали Nginx, мы готовы настроить его, чтобы начать использовать TLS 1.3 на нашем сервере.

Запустите sudo vim /etc/nginx/conf.d/example.com.confи заполните файл следующей конфигурацией.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com/example.com.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.cer;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/example.com.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Сохраните файл и выйдите с помощью :+ W+ Q.

Обратите внимание на новый TLSv1.3параметр ssl_protocolsдирективы. Этот параметр необходим для включения TLS 1.3.

Проверьте конфигурацию.

sudo nginx -t

Перезагрузить Nginx.

sudo systemctl reload nginx.service

Для проверки TLS 1.3 вы можете использовать инструменты разработчика браузера или службу SSL Labs. На приведенных ниже снимках экрана показана вкладка безопасности Chrome, показывающая, что TLS 1.3 работает.

Поздравляем! Вы успешно включили TLS 1.3 на своем сервере Debian 9.