FreeBSD 12de Nginxte TLS 1.3ü Etkinleştirme

• Gereksinimler
• Sen başlamadan önce
• Acme.sh istemcisini kurun ve Let's Encrypt'ten TLS sertifikası alın
• Nginx'i yükle
• Nginx'i Yapılandır

TLS 1.3, 2018'de RFC 8446'da önerilen bir standart olarak yayınlanan Taşıma Katmanı Güvenliği (TLS) protokolünün bir sürümüdür . Öncüllerine göre güvenlik ve performans iyileştirmeleri sunuyor.

Bu kılavuz FreeSD 12'de Nginx web sunucusunu kullanarak TLS 1.3'ün nasıl etkinleştirileceğini gösterecektir.

Gereksinimler

• FreeBSD 12 çalıştıran Vultr Cloud Compute (VC2) örneği.
• Geçerli bir alan adı ve alanınız için uygun şekilde yapılandırılmış A/ AAAA/ CNAMEDNS kayıtları.
• Geçerli bir TLS sertifikası. Let's Encrypt'den bir tane alacağız.
• Nginx sürümü 1.13.0veya üstü.
• OpenSSL sürümü 1.1.1veya üstü.

Sen başlamadan önce

FreeBSD sürümünü kontrol edin.

uname -ro
# FreeBSD 12.0-RELEASE

FreeBSD sisteminizin güncel olduğundan emin olun.

freebsd-update fetch install
pkg update && pkg upgrade -y

Sisteminizde yoksa gerekli paketleri kurun.

pkg install -y sudo vim unzip wget bash socat git

Tercih ettiğiniz kullanıcı adıyla yeni bir kullanıcı hesabı oluşturun (kullanacağız johndoe).

adduser

# Username: johndoe
# Full name: John Doe
# Uid (Leave empty for default): <Enter>
# Login group [johndoe]: <Enter>
# Login group is johndoe. Invite johndoe into other groups? []: wheel
# Login class [default]: <Enter>
# Shell (sh csh tcsh nologin) [sh]: bash
# Home directory [/home/johndoe]: <Enter>
# Home directory permissions (Leave empty for default): <Enter>
# Use password-based authentication? [yes]: <Enter>
# Use an empty password? (yes/no) [no]: <Enter>
# Use a random password? (yes/no) [no]: <Enter>
# Enter password: your_secure_password
# Enter password again: your_secure_password
# Lock out the account after creation? [no]: <Enter>
# OK? (yes/no): yes
# Add another user? (yes/no): no
# Goodbye!

Grup üyelerinin herhangi bir komutu yürütmesine izin vermek için visudokomutu çalıştırın ve %wheel ALL=(ALL) ALLsatırı kaldırın wheel.

visudo

# Uncomment by removing hash (#) sign
# %wheel ALL=(ALL) ALL

Şimdi ile yeni oluşturulan kullanıcınıza geçin su.

su - johndoe

NOT: Kullanıcı adınızla değiştirin johndoe.

Saat dilimini ayarlayın.

sudo tzsetup

Acme.sh istemcisini yükleyin ve Let's Encrypt'ten TLS sertifikası alın

Yükleyin acme.sh.

sudo pkg install -y acme.sh

Versiyonu kontrol et.

acme.sh --version
# v2.7.9

Alan adınız için RSA ve ECDSA sertifikaları alın.

# RSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength 2048
# ECC/ECDSA
sudo acme.sh --issue --standalone -d example.com --ocsp-must-staple --keylength ec-256

NOT: Komutlarda alan adınızla değiştirin example.com.

Sertifikalarınızı ve anahtarlarınızı saklamak için dizinler oluşturun. Kullanacağız /etc/letsencrypt.

sudo mkdir -p /etc/letsencrypt/example.com
sudo mkdir -p /etc/letsencrypt/example.com_ecc

Sertifikaları yükleyin ve /etc/letsencryptdizine kopyalayın .

# RSA
sudo acme.sh --install-cert -d example.com --cert-file /etc/letsencrypt/example.com/cert.pem --key-file /etc/letsencrypt/example.com/private.key --fullchain-file /etc/letsencrypt/example.com/fullchain.pem 
# ECC/ECDSA
sudo acme.sh --install-cert -d example.com --ecc --cert-file /etc/letsencrypt/example.com_ecc/cert.pem --key-file /etc/letsencrypt/example.com_ecc/private.key --fullchain-file /etc/letsencrypt/example.com_ecc/fullchain.pem

Yukarıdaki komutları çalıştırdıktan sonra, sertifikalarınız ve anahtarlarınız aşağıdaki konumlarda olacaktır:

• RSA: /etc/letsencrypt/example.com
• ECC/ECDSA: /etc/letsencrypt/example.com_ecc

Nginx'i yükle

Nginx, 1.13.0 sürümünde TLS 1.3 desteği ekledi. FreeBSD 12 sistemi, kutudan TLS 1.3'ü destekleyen Nginx ve OpenSSL ile birlikte gelir, bu nedenle özel bir sürüm oluşturmaya gerek yoktur.

pkgPaket yöneticisi aracılığıyla Nginx'in en son ana sürümünü indirin ve yükleyin .

sudo pkg install -y nginx-devel

Versiyonu kontrol et.

nginx -v
# nginx version: nginx/1.15.8

Nginx'in derlendiği OpenSSL sürümünü kontrol edin.

nginx -V
# built with OpenSSL 1.1.1a-freebsd  20 Nov 2018

Nginx'i başlatın ve etkinleştirin.

sudo sysrc nginx_enable=yes
sudo service nginx start

Nginx'i Yapılandır

Nginx'i başarıyla kurduğumuza göre, sunucumuzda TLS 1.3'ü kullanmaya başlamak için uygun yapılandırmayla yapılandırmaya hazırız.

sudo vim /usr/local/etc/nginx/example.com.confKomutu çalıştırın ve dosyayı aşağıdaki yapılandırmayla doldurun.

server {
  listen 443 ssl http2;
  listen [::]:443 ssl http2;

  server_name example.com;

  # RSA
  ssl_certificate /etc/letsencrypt/example.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com/private.key;
  # ECDSA
  ssl_certificate /etc/letsencrypt/example.com_ecc/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/example.com_ecc/private.key;

  ssl_protocols TLSv1.2 TLSv1.3;
  ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
  ssl_prefer_server_ciphers on;
}

Dosyayı kaydedin ve :+ W+ ile çıkın Q.

Şimdi example.com.confana nginx.confdosyaya eklememiz gerekiyor.

sudo vim /usr/local/etc/nginx/nginx.confAşağıdaki satırı çalıştırın ve http {}bloğa ekleyin .

include example.com.conf;

Direktifin yeni TLSv1.3parametresine dikkat edin ssl_protocols. Bu parametre yalnızca Nginx sunucusunda TLS 1.3'ü etkinleştirmek için gereklidir.

Yapılandırmayı kontrol edin.

sudo nginx -t

Nginx'i yeniden yükleyin.

sudo service nginx reload

TLS 1.3'ü doğrulamak için tarayıcı geliştirici araçlarını veya SSL Labs hizmetini kullanabilirsiniz. Aşağıdaki ekran görüntüleri Chrome'un güvenlik sekmesini göstermektedir.

FreeBSD sunucunuzda Nginx'te TLS 1.3'ü başarıyla etkinleştirdiniz. TLS 1.3'ün son sürümü Ağustos 2018'de tanımlandı, bu nedenle bu yeni teknolojiyi kullanmaya başlamak için daha iyi bir zaman yok.