TLS и ACME
Fluxheim може послуживати TLS са статичким цертификатима или управљати ACME цертификатима за tebe.
Управљани цертификати
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"ACME безбедност и животни циклус
Fluxheim 1.7.9 проверава директоријуме издаваоца и захтева изричит пристанак на тачно објављене услове пре креирања налога. Покретање налога, објављивање сертификата, деактивација и опозив користе опорављиве трансакције.
[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"Потврдите тренутни УРЛ од издаваоца пре примене. Измењени или неусклађени споразум мора бити одбијен.
Проверите и одржавајте ACME
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirmОнлине провере се покрећу са овог сервера и не замењују спољни надзор. Опозив ставља у карантин управљани пар сертификата и захтева поновно учитавање; инсталирајте замену пре него што наставите са нормалним сервисом.
TLS избори
| Избор | Користи када |
|---|---|
rustls | Желиш нормалан меморy-сафе TLS put. |
openssl | Требаш OpenSSL провидер boundary. |
modern | Само модерни TLS client смију се povezati. |
intermediate | Желиш дефаулт production compatibility profile. |
compat | Мораш изричито задржати TLS 1.2 compatibility. |
Пример статичког цертификата
[server]
tls_listen = ["0.0.0.0:8443"]
[[vhosts]]
name = "site"
hosts = ["example.com"]
[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"Опозив сертификата клијента
Када узајамни TLS мора да одбије опозване клијентске сертификате, наведите ограничени PEM CRL пакет. Fluxheim проверава цео ланац издавалаца и одбија истекле или непотпуне CRL смернице.
[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"Обавезна аутентификација клијента у режиму усклађености који захтева FIPS или ISO такође захтева CRL пакет. Обична аутентификација клијента задржава проверу опозива као изричито укључиву опцију.
Прије укључивања ACME
- Провјери да публиц DNS показује на овај server.
- Допусти HTTP-01 или TLS-ALPN-01 цхалленге traffic.
- Моунт ACME стате као персистент вритабле storage.
- Користи вањски издане цертификате за строге FIPS или ISO boundary.