TLS a ACME

Fluxheim môže servírovať TLS so statickými certifikátmi alebo spravovať ACME certifikáty za teba.

Spravované certifikáty

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME bezpečnosť a životný cyklus

Fluxheim 1.7.9 overuje zoznamy vydavateľov ACME a vyžaduje výslovný súhlas s presnými podmienkami zverejnenými vydavateľom pred vytvorením účtu. Založenie účtu, zverejnenie certifikátu, deaktivácia a zrušenie používajú obnoviteľné transakcie.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Pred nasadením potvrďte aktuálnu adresu URL od vydavateľa. Zmenená alebo nezodpovedajúca dohoda musí byť odmietnutá.

Skontrolujte a udržiavajte ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Online kontroly prebiehajú z tohto servera a nenahrádzajú externé monitorovanie. Zrušenie umiestni pár spravovaných certifikátov do karantény a požiada o opätovné načítanie; nainštalujte náhradu pred pokračovaním v bežnej prevádzke.

TLS volby

Volba	Použi, keď
`rustls`	Chceš bežnú memory-safe TLS cestu.
`openssl`	Potřebuješ OpenSSL provider boundary.
`modern`	Pripojiť sa smú iba moderní TLS client.
`intermediate`	Chceš default production compatibility profile.
`compat`	Musíš ponechat TLS 1.2 compatibility explicitné.

Príklad statického certifikátu

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Zrušenie klientskeho certifikátu

Keď vzájomný TLS musí odmietnuť zrušené klientske certifikáty, poskytnite ohraničený balík PEM CRL. Fluxheim overí celý reťazec vydavateľov a odmietne vypršanú alebo neúplnú politiku CRL.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Požadovaná autentifikácia klienta v režime zhody FIPS alebo ISO vyžaduje aj balík CRL. Bežná autentifikácia klienta zachováva zrušenie ako výslovné prihlásenie.

Pred zapnutím ACME

Uisti sa, že public DNS ukazuje na tento server.
Povoľ HTTP-01 alebo TLS-ALPN-01 challenge traffic.
Mount ACME state ako persistent writable storage.
Použi externe vydané certifikáty pre prísne FIPS alebo ISO boundary.