TLS és ACME

Kezelt tanúsítványok

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME biztonság és életciklus

A Fluxheim 1.7.9 ellenőrzi az ACME kibocsátói címtárait, és a fiók létrehozása előtt a kibocsátó által közzétett pontos feltételekhez való kifejezett beleegyezés szükséges. A fiókbeállítás, a tanúsítvány közzététele, a deaktiválás és a visszavonás helyreállítható tranzakciókat használ.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

A telepítés előtt erősítse meg az aktuális URL-t a kibocsátótól. A megváltozott vagy nem megfelelő megállapodást el kell utasítani.

Ellenőrizze és tartsa karban az ACME-t

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Az online ellenőrzések erről a szerverről futnak, és nem helyettesítik a külső megfigyelést. A visszavonás karanténba helyezi a kezelt tanúsítványpárt, és újratöltést kér; a normál szolgáltatás folytatása előtt telepítsen egy csereeszközt.

TLS választások

Static certificate példa

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Ügyféltanúsítvány visszavonása

Ha a kölcsönös TLS-nak el kell utasítania a visszavont ügyféltanúsítványokat, biztosítson egy korlátozott PEM CRL köteget. A Fluxheim érvényesíti a teljes kibocsátói láncot, és elutasítja a lejárt vagy hiányos CRL szabályzatot.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

A FIPS vagy ISO által megkövetelt megfelelőségi módban a szükséges ügyfél-hitelesítéshez CRL köteg is szükséges. A szokásos ügyfél-hitelesítés a visszavonást kifejezett engedélyezésként tartja meg.

ACME engedélyezése előtt

• Győződj meg róla, hogy a public DNS erre a serverre mutat.
• Engedd át a HTTP-01 vagy TLS-ALPN-01 challenge trafficet.
• Mountold az ACME state-et persistent writable storage-ként.
• Szigorú FIPS vagy ISO-required boundary esetén használj externally issued certificate-eket.