TLS og ACME

Administrerte sertifikater

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME sikkerhet og livssyklus

Fluxheim 1.7.9 validerer ACME-utstederkataloger og krever eksplisitt samtykke til de eksakte vilkårene publisert av utstederen før du oppretter en konto. Kontooppsett, sertifikatpublisering, deaktivering og tilbakekalling bruker gjenvinnbare transaksjoner.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Bekreft gjeldende URL fra utsteder før distribusjon. En endret eller feilaktig avtale må avvises.

Sjekk og vedlikehold ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Online sjekker kjøres fra denne serveren og erstatter ikke ekstern overvåking. Tilbakekalling setter det administrerte sertifikatparet i karantene og ber om en ny innlasting; installere en erstatning før du fortsetter normal service.

TLS-valg

Eksempel på statisk sertifikat

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Tilbakekalling av klientsertifikat

Når gjensidig TLS må avvise tilbakekalte klientsertifikater, oppgi en avgrenset PEM CRL-pakke. Fluxheim validerer hele utstederkjeden og avviser utløpte eller ufullstendige CRL-policyer.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Nødvendig klientautentisering i en FIPS eller ISO-påkrevd samsvarsmodus krever også en CRL-pakke. Vanlig klientautentisering beholder tilbakekalling som en eksplisitt opt-in.

Før du aktiverer ACME

• Sørg for at offentlig DNS peker til denne serveren.
• Tillat HTTP-01- eller TLS-ALPN-01 challenge-trafikk.
• Monter ACME-state som persistent skrivbar lagring.
• Bruk eksternt utstedte sertifikater for strenge FIPS- eller ISO-påkrevde grenser.