TLS a ACME
Fluxheim může servírovat TLS se statickými certifikáty nebo spravovat ACME certifikáty za tebe.
Spravované certifikáty
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"ACME bezpečnost a životní cyklus
Fluxheim 1.7.9 ověřuje adresáře vydavatelů ACME a před vytvořením účtu vyžaduje výslovný souhlas s přesnými podmínkami zveřejněnými vydavatelem. Nastavení účtu, zveřejnění certifikátu, deaktivace a odvolání používají obnovitelné transakce.
[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"Před nasazením potvrďte aktuální adresu URL od vydavatele. Změněná nebo neodpovídající dohoda musí být odmítnuta.
Kontrola a údržba ACME
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirmOnline kontroly běží z tohoto serveru a nenahrazují externí monitorování. Zrušení umístí do karantény pár spravovaných certifikátů a požádá o opětovné načtení; nainstalujte náhradní před pokračováním v normálním servisu.
TLS volby
| Volba | Použij, když |
|---|---|
rustls | Chceš běžnou memory-safe TLS cestu. |
openssl | Potřebuješ OpenSSL provider boundary. |
modern | Připojit se smějí jen moderní TLS client. |
intermediate | Chceš default production compatibility profile. |
compat | Musíš ponechat TLS 1.2 compatibility explicitní. |
Příklad statického certifikátu
[server]
tls_listen = ["0.0.0.0:8443"]
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"Zneplatnění klientského certifikátu
Když musí vzájemný TLS odmítnout odvolané klientské certifikáty, poskytněte ohraničený balíček PEM CRL. Fluxheim ověřuje celý řetězec vydavatelů a odmítá vypršenou nebo neúplnou zásadu CRL.
[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"Požadované ověření klienta v režimu shody požadované FIPS nebo ISO také vyžaduje balíček CRL. Obyčejné ověřování klienta zachovává odvolání jako výslovné přihlášení.
Před zapnutím ACME
- Ujisti se, že public DNS ukazuje na tento server.
- Povol HTTP-01 nebo TLS-ALPN-01 challenge traffic.
- Mount ACME state jako persistent writable storage.
- Použij externě vydané certifikáty pro přísné FIPS nebo ISO boundary.