TLS dhe ACME

Fluxheim mund të shërbejë TLS me certifikata statike ose të menaxhojë certifikata ACME për ty.

Certifikata të menaxhuara

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

Siguria dhe cikli i jetës ACME

Fluxheim 1.7.9 vërteton drejtoritë e emetuesve ACME dhe kërkon marrëveshje të qartë me kushtet e sakta të publikuara nga emetuesi përpara se të krijojë një llogari. Konfigurimi i llogarisë, publikimi i certifikatës, çaktivizimi dhe revokimi përdorin transaksione të rikuperueshme.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Konfirmo URL-në aktuale nga lëshuesi përpara vendosjes. Një marrëveshje e ndryshuar ose e papërputhshme duhet të refuzohet.

Kontrolloni dhe mirëmbani ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Kontrollet online ekzekutohen nga ky server dhe nuk zëvendësojnë monitorimin e jashtëm. Revokimi vendos në karantinë çiftin e certifikatave të menaxhuara dhe kërkon një ringarkim; instaloni një zëvendësues përpara se të vazhdoni shërbimin normal.

Zgjedhje TLS

Zgjedhja	Përdore kur
`rustls`	Do rrugën normale TLS të sigurt për memorien.
`openssl`	Të duhet një kufi provider-i OpenSSL.
`modern`	Vetëm klientët modernë TLS duhet të lidhen.
`intermediate`	Do profilin e parazgjedhur të kompatibilitetit për prodhim.
`compat`	Duhet ta mbash eksplicit kompatibilitetin TLS 1.2.

Shembull certifikate statike

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Revokimi i certifikatës së klientit

Kur TLS reciprok duhet të refuzojë certifikatat e klientit të revokuara, jepni një paketë PEM CRL të kufizuar. Fluxheim vërteton zinxhirin e plotë të emetuesit dhe refuzon politikën CRL të skaduar ose jo të plotë.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Vërtetimi i kërkuar i klientit në një modalitet të pajtueshmërisë FIPS ose ISO kërkon gjithashtu një paketë CRL. Autentifikimi i zakonshëm i klientit e mban revokimin si një zgjedhje të qartë.

Para se të aktivizosh ACME

Sigurohu që DNS publik tregon te ky server.
Lejo trafikun challenge HTTP-01 ose TLS-ALPN-01.
Monto gjendjen ACME si storage persistent të shkrueshëm.
Përdor certifikata të lëshuara jashtë për kufij striktë FIPS ose ISO.