TLS ja ACME

Hallinnoidut sertifikaatit

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME:n turvallisuus ja elinkaari

Fluxheim 1.7.9 vahvistaa ACME-myöntäjien hakemistot ja vaatii ennen tilin luomista nimenomaisen suostumuksen myöntäjän julkaisemiin täsmällisiin ehtoihin. Tilin määritys, varmenteen julkaiseminen, deaktivointi ja peruuttaminen käyttävät palautettavia tapahtumia.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Vahvista nykyinen URL-osoite myöntäjältä ennen käyttöönottoa. Muutettu tai yhteensopimaton sopimus on hylättävä.

Tarkista ja huolla ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Online-tarkistukset suoritetaan tältä palvelimelta, eivätkä ne korvaa ulkoista valvontaa. Peruuttaminen asettaa hallitun varmenneparin karanteeniin ja pyytää uudelleenlatausta; asenna uusi ennen normaalin palvelun jatkamista.

TLS-valinnat

Staattisen sertifikaatin esimerkki

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Asiakasvarmenteen peruuttaminen

Kun keskinäisen TLS:n on hylättävä peruutetut asiakasvarmenteet, toimita rajoitettu PEM CRL -paketti. Fluxheim vahvistaa koko myöntäjäketjun ja hylkää vanhentuneen tai epätäydellisen CRL-käytännön.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Vaadittu asiakastodennus FIPS- tai ISO-vaatimustenmukaisuustilassa edellyttää myös CRL-pakettia. Tavallinen asiakastodennus pitää peruutuksen nimenomaisena valintana.

Ennen ACME:n käyttöönottoa

• Varmista, että julkinen DNS osoittaa tähän palvelimeen.
• Salli HTTP-01- tai TLS-ALPN-01 challenge -liikenne.
• Liitä ACME-state pysyväksi kirjoitettavaksi tallennukseksi.
• Käytä ulkoisesti myönnettyjä sertifikaatteja tiukkoihin FIPS- tai ISO-vaadittuihin rajoihin.