TLS e ACME

Fluxheim pò serviri TLS cu certificati statici o gestiri certificati ACME pi tia.

Certificati gestiti

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

Sicurezza e ciclu di vita ACME

Fluxheim 1.7.9 virìfica li directory di l'emittenti e addumanna un accordu esplicitu cu li cunnizzioni esatti pubblicati prima di criari un cuntu. Bootstrap dû cuntu, pubblicazzioni dû certificatu, disattivazzioni e revoca usanu transazzioni ricupirabbili.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Cunferma l'URL attuali cu l'emittenti prima dû deploy. Un accordu canciatu o nun currispunnenti havi a èssiri rifiutatu.

Virìfica e manteni ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Li cuntrolli online pàrtinu di stu server e nun sustituiscinu lu monitoraggiu esternu. La revoca metti 'n quarantena la coppia di certificati gestita e addumanna un reload; installa un ricambiu prima di cuntinuari lu sirvizziu nurmali.

Scelte TLS

Scelta	Usalo quannu
`rustls`	Vuoi u normale percorso TLS memory-safe.
`openssl`	Hai bisogno di nu boundary provider OpenSSL.
`modern`	S'hannu a cunnèttiri sulu client TLS muderni.
`intermediate`	Vuoi u profilo compatibilità production pridifinitu.
`compat`	Devi mantenere esplicita a compatibilità TLS 1.2.

Esempio certificatu statico

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Rivoca dû cirtificatu dû clienti

Quannu TLS ricìprocu àvi a rifiutari li certificati clienti rifiutati, furniri nu pacchettu CRL limitatu. Fluxheim cunvalida a catina emittenti cumpleta e rifiuta a pulìtica CRL scaduta o ‘ncumpleta.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

L'autinticazzioni dû clienti richiesta nnâ modalità di cunfurmità richiesta richiedi macari nu pacchettu CRL. L'autinticazzioni dû clienti urdinaria manteni la revoca comu n'opt-in esplìcita.

Prima di abbilitari ACME

Assicùrati ca u DNS pùbblicu punta a chistu server.
Permetti u trafficu challenge HTTP-01 o TLS-ALPN-01.
Monta u stato ACME comu storage persistente scrivibile.
Usa certificati emessi esternamenti pi boundary FIPS o ISO rìggidi.