TLS i ACME
Fluxheim može posluživati TLS sa statičkim certifikatima ili upravljati ACME certifikatima za tebe.
Upravljani certifikati
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"ACME sigurnost i životni ciklus
Fluxheim 1.7.9 provjerava valjanost imenika izdavatelja ACME-a i zahtijeva izričito prihvaćanje točnih uvjeta koje je izdavatelj objavio prije kreiranja računa. Postavljanje računa, objava certifikata, deaktivacija i opoziv koriste transakcije koje se mogu povratiti.
[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"Potvrdite trenutni URL od izdavatelja prije implementacije. Izmijenjeni ili neusklađeni ugovor mora se odbiti.
Provjerite i održavajte ACME
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirmOnline provjere pokreću se s ovog poslužitelja i ne zamjenjuju vanjski nadzor. Opoziv stavlja u karantenu upravljani par certifikata i zahtijeva ponovno učitavanje; instalirajte zamjenu prije nastavka normalnog servisiranja.
TLS izbori
| Izbor | Koristi kada |
|---|---|
rustls | Želiš normalan memory-safe TLS put. |
openssl | Trebaš OpenSSL provider boundary. |
modern | Samo moderni TLS client smiju se povezati. |
intermediate | Želiš default production compatibility profile. |
compat | Moraš izričito zadržati TLS 1.2 compatibility. |
Primjer statičkog certifikata
[server]
tls_listen = ["0.0.0.0:8443"]
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"Opoziv certifikata klijenta
Kada zajednički TLS mora odbiti opozvane klijentske certifikate, osigurajte ograničeni paket PEM CRL. Fluxheim potvrđuje cijeli lanac izdavatelja i odbacuje isteklu ili nepotpunu CRL politiku.
[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"Potrebna provjera autentičnosti klijenta u načinu usklađenosti koji zahtijeva FIPS ili ISO također zahtijeva paket CRL. Uobičajena provjera autentičnosti klijenta zadržava opoziv kao izričitu prijavu.
Prije uključivanja ACME
- Provjeri da public DNS pokazuje na ovaj server.
- Dopusti HTTP-01 ili TLS-ALPN-01 challenge traffic.
- Mount ACME state kao persistent writable storage.
- Koristi vanjski izdane certifikate za stroge FIPS ili ISO boundary.