TLS in ACME

Fluxheim lahko posluživati TLS sa statičnim certifikati ali upravljati ACME certifikati za tebe.

Upravljani certifikati

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

Varnost in življenjski cikel ACME

Fluxheim 1.7.9 potrjuje imenike izdajateljev ACME in pred ustvarjanjem računa zahteva izrecno strinjanje s točnimi pogoji, ki jih je objavil izdajatelj. Nastavitev računa, objava potrdila, deaktivacija in preklic uporabljajo izterljive transakcije.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Pred uvedbo potrdite trenutni URL od izdajatelja. Spremenjeno ali neusklajeno pogodbo je treba zavrniti.

Preverite in vzdržujte ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Spletna preverjanja se izvajajo s tega strežnika in ne nadomeščajo zunanjega nadzora. Preklic par upravljanih potrdil postavi v karanteno in zahteva ponovno nalaganje; namestite nadomestno, preden nadaljujete z običajnim servisiranjem.

TLS izbori

Izbor	Uporabi kada
`rustls`	Želiš normalan memory-safe TLS put.
`openssl`	Trebaš OpenSSL provider boundary.
`modern`	Samo moderni TLS client smiju se povezati.
`intermediate`	Želiš default production compatibility profile.
`compat`	Moraš izričito zadržati TLS 1.2 compatibility.

Primjer statičkog certifikatov

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Preklic potrdila stranke

Ko mora medsebojno TLS zavrniti preklicana potrdila odjemalca, zagotovite omejen sveženj PEM CRL. Fluxheim potrdi celotno verigo izdajatelja in zavrne potekel ali nepopoln pravilnik CRL.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Zahtevano preverjanje pristnosti odjemalca v načinu skladnosti, ki ga zahteva FIPS ali ISO, zahteva tudi sveženj CRL. Običajna avtentikacija odjemalca ohranja preklic kot izrecno privolitev.

Prije vklopom ACME

Provjeri da public DNS pokazuje na ovaj server.
Dopusti HTTP-01 ali TLS-ALPN-01 challenge traffic.
Mount ACME stater kot persistent writable storage.
Uporabi vanjski izdane certifikater za stroge FIPS ali ISO boundary.