TLS i ACME

Fluxheim može posluživati TLS sa statičkim certifikatima ili upravljati ACME certifikatima za tebe.

Upravljani certifikati

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME sigurnost i životni ciklus

Fluxheim 1.7.9 potvrđuje ACME imenike izdavaoca i zahtijeva izričit pristanak na tačne uslove koje objavi izdavalac prije kreiranja naloga. Postavljanje računa, objavljivanje certifikata, deaktivacija i opoziv koriste transakcije koje se mogu vratiti.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Potvrdite trenutni URL od izdavača prije implementacije. Izmijenjeni ili neusklađeni sporazum mora se odbiti.

Provjerite i održavajte ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Online provjere se pokreću sa ovog servera i ne zamjenjuju vanjsko nadgledanje. Opoziv stavlja u karantin upravljani par certifikata i zahtijeva ponovno učitavanje; instalirajte zamjenski prije nastavka normalnog servisa.

TLS izbori

Izbor	Koristi kada
`rustls`	Želiš normalan memory-safe TLS put.
`openssl`	Trebaš OpenSSL provider boundary.
`modern`	Samo moderni TLS client smiju se povezati.
`intermediate`	Želiš default production compatibility profile.
`compat`	Moraš izričito zadržati TLS 1.2 compatibility.

Primjer statičkog certifikata

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Opoziv certifikata klijenta

Kada zajednički TLS mora odbiti opozvane klijentske certifikate, osigurajte ograničeni PEM CRL paket. Fluxheim potvrđuje kompletan lanac izdavatelja i odbija istekle ili nepotpune CRL politike.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Zahtijevana provjera autentičnosti klijenta u FIPS ili ISO načinu usklađenosti koji zahtijeva također zahtijeva CRL paket. Obična provjera autentičnosti klijenta zadržava opoziv kao izričitu opt-in.

Prije uključivanja ACME

Provjeri da public DNS pokazuje na ovaj server.
Dopusti HTTP-01 ili TLS-ALPN-01 challenge traffic.
Mount ACME state kao persistent writable storage.
Koristi vanjski izdane certifikate za stroge FIPS ili ISO boundary.