TLS u ACME
Fluxheim jista’ jservi TLS b’ċertifikati statiċi jew jimmaniġġja ċertifikati ACME għalik.
Ċertifikati ġestiti
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"Sigurtà u ċiklu tal-ħajja ACME
Fluxheim 1.7.9 jivvalida direttorji tal-emittenti ACME u jeħtieġ ftehim espliċitu mat-termini eżatti ppubblikati mill-emittent qabel ma joħloq kont. Is-setup tal-kont, il-pubblikazzjoni taċ-ċertifikat, id-diżattivazzjoni, u r-revoka jużaw tranżazzjonijiet li jistgħu jiġu rkuprati.
[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"Ikkonferma l-URL attwali mill-emittent qabel l-iskjerament. Ftehim mibdul jew mhux imqabbel għandu jiġi rrifjutat.
Iċċekkja u żżomm ACME
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirmIl-kontrolli onlajn jitmexxew minn dan is-server u ma jissostitwixxux il-monitoraġġ estern. Ir-revoka tikkwarantina l-par ta' ċertifikati ġestiti u titlob tagħbija mill-ġdid; installa sostituzzjoni qabel ma tkompli s-servizz normali.
Għażliet TLS
| Għażla | Użah meta |
|---|---|
rustls | You want the normal memorja-sikur TLS path. |
openssl | Għandek bżonn fruntiera tal-fornitur OpenSSL. |
modern | Il-klijenti TLS moderni biss iridu jikkonnettjaw. |
intermediate | You want the predefinit production compatibility profil. |
compat | Int trid iżżomm il-kompatibilità TLS 1.2 espliċita. |
Eżempju ta’ ċertifikat statiku
[server]
tls_listen = ["0.0.0.0:8443"]
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"Revoka taċ-ċertifikat tal-klijent
Meta TLS reċiproka trid tirrifjuta ċertifikati tal-klijenti revokati, ipprovdi bundle PEM CRL ilimitat. Fluxheim jivvalida l-katina sħiħa tal-emittent u jirrifjuta l-politika CRL skaduta jew mhux kompluta.
[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"L-awtentikazzjoni tal-klijent meħtieġa f'mod ta' konformità FIPS jew ISO teħtieġ ukoll pakkett CRL. L-awtentikazzjoni ordinarja tal-klijent iżżomm ir-revoka bħala opt-in espliċita.
Qabel ma tattiva ACME
- Kun żgur li DNS pubbliku jipponta lejn dan is-server.
- Ippermetti traffiku ta’ challenge HTTP-01 jew TLS-ALPN-01.
- Immuntata l-istat ACME bħala ħażna persistenti li tista’ tinkiteb.
- Use externally issued ċertifikati għal strett FIPS jew ISO-required boundaries.