TLS och ACME

Hanterade certifikat

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
acme = true
email = "admin@example.com"
storage = "/var/lib/fluxheim/acme"

ACME säkerhet och livscykel

Fluxheim 1.7.9 validerar ACME-utfärdarnas kataloger och kräver ett uttryckligt godkännande av de exakta villkor som utfärdaren publicerar innan ett konto skapas. Kontokonfiguration, certifikatpublicering, inaktivering och återkallelse använder återställningsbara transaktioner.

[[tls.acme.issuers]]
name = "letsencrypt"
directory_url = "https://acme-v02.api.letsencrypt.org/directory"
terms_of_service_agreed = true
terms_of_service_url = "https://letsencrypt.org/repository/"

Bekräfta den aktuella webbadressen från utfärdaren före implementering. Ett ändrat eller felaktigt avtal ska förkastas.

Kontrollera och underhåll ACME

fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor
fluxheim-acme --config /etc/fluxheim/fluxheim.toml doctor --online
fluxheim-acme --config /etc/fluxheim/fluxheim.toml renew
fluxheim-acme --config /etc/fluxheim/fluxheim.toml revoke --vhost example.com --confirm

Onlinekontroller körs från denna server och ersätter inte extern övervakning. Återkallelse sätter det hanterade certifikatparet i karantän och begär en omladdning; installera en ersättning innan du fortsätter med normal service.

TLS-val

Exempel på statiskt certifikat

[server]
tls_listen = ["0.0.0.0:8443"]

[[vhosts]]
name = "site"
hosts = ["example.com"]

[vhosts.tls]
cert_path = "/etc/fluxheim/tls/fullchain.pem"
key_path = "/etc/fluxheim/tls/privkey.pem"

Återkallelse av klientcertifikat

När ömsesidiga TLS måste avvisa återkallade klientcertifikat, tillhandahåll ett begränsat PEM CRL-paket. Fluxheim validerar hela utfärdarkedjan och avvisar utgången eller ofullständig CRL-policy.

[vhosts.tls.client_auth]
mode = "required"
ca_path = "/etc/fluxheim/tls/client-ca.pem"
crl_path = "/etc/fluxheim/tls/client-crls.pem"

Krävd klientautentisering i ett FIPS eller ISO-krävt överensstämmelseläge kräver också ett CRL-paket. Vanlig klientautentisering behåller återkallelse som en explicit opt-in.

Innan ACME aktiveras

• Se till att publik DNS pekar på den här servern.
• Tillåt challenge-trafik för HTTP-01 eller TLS-ALPN-01.
• Montera ACME-state som beständig skrivbar lagring.
• Använd externt utfärdade certifikat för strikta FIPS- eller ISO-krav.