Как включить TLS 1.3 в Nginx на FreeBSD 12

• Требования
• Прежде чем вы начнете
• Установите клиент acme.sh и получите сертификат TLS от Let's Encrypt
• Установить Nginx
• Настроить Nginx

TLS 1.3 - это версия протокола безопасности транспортного уровня (TLS), который был опубликован в 2018 году в качестве предлагаемого стандарта в RFC 8446 . Он предлагает улучшения безопасности и производительности по сравнению со своими предшественниками.

В этом руководстве будет показано, как включить TLS 1.3 с помощью веб-сервера Nginx во FreeBSD 12.

Требования

• Экземпляр Vultr Cloud Compute (VC2) под управлением FreeBSD 12.
• Действительное имя домена и правильно настроенные A/ AAAA/ CNAMEDNS записи для вашего домена.
• Действительный сертификат TLS. Мы получим один от Let's Encrypt.
• Версия Nginx 1.13.0или выше.
• Версия OpenSSL 1.1.1или выше.

Прежде чем вы начнете

Проверьте версию FreeBSD.

uname -ro
# FreeBSD 12.0-RELEASE

Убедитесь, что ваша система FreeBSD обновлена.

freebsd-update fetch install
pkg update && pkg upgrade -y

Установите необходимые пакеты, если их нет в вашей системе.

pkg install -y sudo vim unzip wget bash socat git

Создайте новую учетную запись пользователя с вашим предпочтительным именем пользователя (мы будем использовать johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Запустите visudoкоманду и раскомментируйте %wheel ALL=(ALL) ALLстроку, чтобы члены wheelгруппы могли выполнить любую команду.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Теперь переключитесь на нового пользователя с помощью su.

su - johndoe

ПРИМЕЧАНИЕ. Замените johndoeна свое имя пользователя.

Установите часовой пояс.

sudo tzsetup

Установите клиент acme.sh и получите сертификат TLS от Let's Encrypt

Установить acme.sh.

sudo pkg install -y acme.sh

Проверьте версию.

acme.sh --version
# v2.7.9

Получите сертификаты RSA и ECDSA для вашего домена.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

ПРИМЕЧАНИЕ. Замените example.comв командах имя вашего домена.

Создайте каталоги для хранения ваших сертификатов и ключей. Мы будем использовать /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Установите и скопируйте сертификаты в /etc/letsencryptкаталог.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

После выполнения вышеуказанных команд ваши сертификаты и ключи будут находиться в следующих местах:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Установить Nginx

Nginx добавил поддержку TLS 1.3 в версии 1.13.0. Система FreeBSD 12 поставляется с Nginx и OpenSSL, которые поддерживают TLS 1.3 из коробки, поэтому нет необходимости создавать пользовательскую версию.

Загрузите и установите последнюю основную версию Nginx через pkgменеджер пакетов.

sudo pkg install -y nginx-devel

Проверьте версию.

nginx -v
# nginx version: nginx/1.15.8

Проверьте версию OpenSSL, относительно которой был скомпилирован Nginx.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Запустите и включите Nginx.

sudo sysrc nginx_enable=yes
sudo service nginx start

Настроить Nginx

Теперь, когда мы успешно установили Nginx, мы готовы настроить его для правильной конфигурации, чтобы начать использовать TLS 1.3 на нашем сервере.

Запустите sudo vim /usr/local/etc/nginx/example.com.confкоманду и заполните файл следующей конфигурацией.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Сохраните файл и выйдите с помощью :+ W+ Q.

Теперь нам нужно включить example.com.confв основной nginx.confфайл.

Запустите sudo vim /usr/local/etc/nginx/nginx.confи добавьте следующую строку в http {}блок.

include example.com.conf;

Обратите внимание на новый TLSv1.3параметр ssl_protocolsдирективы. Этот параметр необходим только для включения TLS 1.3 на сервере Nginx.

Проверьте конфигурацию.

sudo nginx -t

Перезагрузить Nginx.

sudo service nginx reload

Для проверки TLS 1.3 вы можете использовать инструменты разработчика браузера или службу SSL Labs. На скриншотах ниже показана вкладка безопасности Chrome.

Вы успешно включили TLS 1.3 в Nginx на своем сервере FreeBSD. Окончательная версия TLS 1.3 была определена в августе 2018 года, поэтому нет лучшего времени, чтобы начать применять эту новую технологию.