FreeBSD 12de Apachede TLS 1.3ü Etkinleştirme

• Gereksinimler
• Sen başlamadan önce
• Acme.sh istemcisini yükleyin ve Let's Encrypt'ten bir TLS sertifikası alın
• Apache Yükle
• TLS 1.3 için Apache'yi Yapılandırma

TLS 1.3, 2018'de RFC 8446'da önerilen bir standart olarak yayınlanan Taşıma Katmanı Güvenliği (TLS) protokolünün bir sürümüdür . Öncüllerine göre güvenlik ve performans iyileştirmeleri sunuyor.

Bu kılavuz, FreeBSD 12'de Apache web sunucusunu kullanarak TLS 1.3'ün nasıl etkinleştirileceğini gösterecektir.

Gereksinimler

• FreeBSD 12 çalıştıran Vultr Cloud Compute (VC2) örneği.
• Geçerli bir alan adı ve alanınız için uygun şekilde yapılandırılmış A/ AAAA/ CNAMEDNS kayıtları.
• Geçerli bir TLS sertifikası. Let's Encrypt'den bir tane alacağız.
• Apache sürümü 2.4.36veya üstü.
• OpenSSL sürümü 1.1.1veya üstü.

Sen başlamadan önce

FreeBSD sürümünü kontrol edin.

uname -ro
# FreeBSD 12.0-RELEASE

FreeBSD sisteminizin güncel olduğundan emin olun.

freebsd-update fetch install
pkg update && pkg upgrade -y

Sisteminizde yoksa gerekli paketleri kurun.

pkg install -y sudo vim unzip wget bash socat git

Tercih ettiğiniz kullanıcı adıyla yeni bir kullanıcı hesabı oluşturun (kullanacağız johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

visudoKomutu çalıştırın ve grup %wheel ALL=(ALL) ALLüyelerinin wheelherhangi bir komutu yürütmesine izin vermek için satırı kaldırın .

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Şimdi ile yeni oluşturulan kullanıcınıza geçin su.

su - johndoe

NOT: Kullanıcı adınızla değiştirin johndoe.

Saat dilimini ayarlayın.

sudo tzsetup

acme.shİstemciyi yükleyin ve Let's Encrypt'ten bir TLS sertifikası alın

Yükleyin acme.sh.

sudo pkg install -y acme.sh

Versiyonu kontrol et.

acme.sh --version
# v2.7.9

Alan adınız için RSA ve ECDSA sertifikaları alın.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOT: Komutları alan adınızla değiştirin example.com.

Sertifikalarınızı ve anahtarlarınızı saklamak için mantıklı dizinler oluşturun. Kullanacağız /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Sertifikaları yükleyin ve kopyalayın /etc/letsencrypt.

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Yukarıdaki komutları çalıştırdıktan sonra, sertifikalarınız ve anahtarlarınız aşağıdaki konumlarda olacaktır:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Apache Yükle

Apache, 2.4.36 sürümünde TLS 1.3 için destek ekledi. FreeBSD 12 sistemi, TLS 1.3'ü kutudan çıkaran Apache ve OpenSSL ile birlikte geliyor, bu nedenle özel bir sürüm oluşturmaya gerek yok.

pkgPaket yöneticisi aracılığıyla Apache'nin en yeni 2.4 şubesini indirip yükleyin .

sudo pkg install -y apache24

Versiyonu kontrol et.

httpd -v
# Server version: Apache/2.4.38 (FreeBSD)

Apache'yi başlatın ve etkinleştirin.

sudo sysrc apache24_enable="yes"
sudo service apache24 start

TLS 1.3 için Apache'yi Yapılandırma

Artık Apache'yi başarıyla kurduğumuza göre, sunucumuzda TLS 1.3'ü kullanmaya başlaması için yapılandırmaya hazırız.

NOT: FreeBSD'de mod_sslmodül hem pakette hem de bağlantı noktasında varsayılan olarak etkindir

sudo vim /usr/local/etc/apache24/httpd.confSSL modülünü çalıştırarak çalıştırın ve dahil edin LoadModule ssl_module libexec/apache24/mod_ssl.so.

#LoadModule ssl_module libexec/apache24/mod_ssl.so

Çalıştırın sudo vim /usr/local/etc/apache24/Includes/example.com.confve dosyayı aşağıdaki temel yapılandırmayla doldurun.

Listen 443
<VirtualHost *:443>
    ServerName example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3
    # RSA
    SSLCertificateFile "/etc/letsencrypt/example.com/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com/private.key"
    # ECC
    SSLCertificateFile "/etc/letsencrypt/example.com_ecc/fullchain.pem"
    SSLCertificateKeyFile "/etc/letsencrypt/example.com_ecc/private.key"
</VirtualHost>

Dosyayı kaydedin ve :+ W+ ile çıkın Q.

Yapılandırmayı kontrol edin.

sudo service apache24 configtest

Apache'yi yeniden yükleyin.

sudo service apache24 reload

Sitenizi web tarayıcınızda HTTPS protokolü üzerinden açın. TLS 1.3'ü doğrulamak için tarayıcı geliştirici araçlarını veya SSL Labs hizmetini kullanabilirsiniz. Aşağıdaki ekran görüntüleri, TLS 1.3'ün etkin olduğu Chrome'un güvenlik sekmesini göstermektedir.

FreeBSD sunucunuzdaki Apache'de TLS 1.3'ü başarıyla etkinleştirdiniz. TLS 1.3'ün son sürümü Ağustos 2018'de tanımlandı, bu nedenle bu yeni teknolojiyi kullanmaya başlamak için daha iyi bir zaman yok.