TLS agus ACME

Fluxheim can freastal TLS le static teastais nó manage ACME teastais do you.

Teastais bhainistithe

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

Sábháilteacht ACME agus saolré

Déanann Fluxheim 1.7.9 eolairí eisitheora ACME a bhailíochtú agus éilíonn sé comhaontú sainráite maidir leis na téarmaí cruinne arna bhfoilsiú ag an eisitheoir sula gcruthaítear cuntas. Úsáideann socrú cuntais, foilsiú deimhnithe, díghníomhachtú agus cúlghairm idirbhearta in-aisghabhála.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Deimhnigh an URL reatha ón eisitheoir roimh imscaradh. Ní mór comhaontú athraithe nó mímheaitseála a dhiúltú.

Seiceáil agus coinnigh ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Ritheann seiceálacha ar líne ón bhfreastalaí seo agus ní thagann siad in ionad monatóireachta seachtraí. Déanann cúlghairm coraintín an péire deimhnithe bainistithe agus iarrann sé athlódáil; athsholáthar a shuiteáil roimh leanúint ar aghaidh le gnáthsheirbhís.

Roghanna TLS

Rogha	Úsáid é nuair
`rustls`	You want the normal cuimhne-sábháilte TLS cosán.
`openssl`	Teastaíonn teorainn soláthraí OpenSSL uait.
`modern`	Ní mór ach cliaint nua-aimseartha TLS nascadh.
`intermediate`	You want the réamhshocraithe production compatibility próifíl.
`compat`	Ní mór duit comhoiriúnacht TLS 1.2 a choinneáil soiléir.

Sampla teastais stataigh

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Deimhniú an chliaint a chúlghairm

Nuair a chaithfidh TLS frithpháirteach deimhnithe cliant cúlghairthe a dhiúltú, cuir bundle teoranta PEM CRL ar fáil. Déanann Fluxheim an slabhra eisitheora iomlán a bhailíochtú agus diúltaíonn sé do pholasaí CRL atá imithe in éag nó atá neamhiomlán.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Éilíonn fíordheimhniú éigeantach cliant i mód comhlíonta FIPS nó ISO beart CRL freisin. I ngnáthfhíordheimhniú cliant, ní mór seiceáil cúlghairme a chumasú go sainráite.

Sula gcumasaítear ACME

Make sure poiblí DNS points to this server.
Allow HTTP-01 nó TLS-ALPN-01 challenge traffic.
Luaigh Mount ACME mar stóráil inscríofa leanúnach.
Use externally issued teastais do dian FIPS nó ISO-required boundaries.