Fluxheim/Doku/Technischa Notiz: TLS & ACME

Technischa Notiz: TLS & ACME

Fluxheim ko TLS mit statischen Zertifikaten ausliefern oder ACME-Zertifikate für di verwalten.

Verwaltete Zertifikate

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME-Sicherheit und Lebenszyklus

Fluxheim 1.7.9 prüaft d Verzeichnisse vo de Aussteller und verlangt vor da Kontoerstellung d ausdrückliche Zustimmung zu de genau veröffentlichten Bedingungen. Konto-Bootstrap, Zertifikatsveröffentlichung, Deaktivierung und Widerruf nutzn wiederherstellbare Transaktionen.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Bestätig vor da Bereitstellung d aktuelle URL vom Aussteller. A geänderte oder ned passende Vereinbarung muaß abglehnt werdn.

ACME prüafn und wartn

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Online-Prüfungen laffa vo dem Server aus und ersetzn koa externe Überwachung. Beim Widerruf werd des verwaltete Zertifikatspaar in Quarantäne verschobn und a Neuladen angfordert; installier an Ersatz, bevor da normale Betrieb weitergeht.

TLS-Auswahl

Auswahl	Nutz es, wenn
`rustls`	Du wuisd den normalen memory-safe TLS-Pfad.
`openssl`	Du brauchst a OpenSSL-Provider-Grenz.
`modern`	Bloß moderne TLS-Clients soin verbinden.
`intermediate`	Du wuisd s standardmäßige Produktions-Kompatibilitätsprofil.
`compat`	Du muaßt TLS-1.2-Kompatibilität explizit beibehoitn.

Beispiel fur statisches Zertifikat

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Widerruf vo Client-Zertifikaten

Wenn gegenseitigs TLS widerrufene Client-Zertifikate ablehnen muaß, stell a begrenzts PEM-CRL-Paket bereit. Fluxheim prüft de vollständige Ausstellerkette und lehnt abgloffene oder unvollständige CRL-Richtlinien ab.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Verpflichtende Client-Authentifizierung in am FIPS- oder ISO-Pflichtmodus braucht aa a CRL-Paket. Bei normaler Client-Authentifizierung bleibt da Widerruf ausdrücklich optional.

Vor am Aktiviern vo ACME

Stell sicher, dass öffentlichs DNS auf den Server zeigt.
Erlaub HTTP-01- oder TLS-ALPN-01-Challenge-Traffic.
Binde ACME-State als dauerhaft beschreibbaren Speicher ein.
Nutz extern ausgestellte Zertifikate für strenge FIPS- oder ISO-erforderliche Grenzen.