Как настроить HTTPS на Apache/2.4.41 (FreeBSD) на A+?

Question

[Антон Кокарев]

Ищу рабочий конфиг для веб-сервера Apache24, дающий по тестам Qualys результат A+.

На борту:

- ОС FreeBSD 12.0 Release с последними обновлениями на 8 сентября 2019;
- Apache/2.4.41 (установлен из портов утилитой pkg) с модулем OpenSSL/1.1.1a
- Модули mod-php73-7.3.8, python27-2.7.16_1, python36-3.6.9, wget-1.20.3, curl-7.65.1, mysql80-8.0.16 и прочее - последних версий;

Желательно чтоб работало совместно с Let's Encrypt и утилитой certbot.
Желательно с поддержкой виртуальных хостов.

Comments

[ky0]

Почему апач, почему BSD?

[Антон Кокарев]

ky0, это самый простой способ установить апач последней версии с поддержкой либы openssl последней версии, что вкупе даёт возможность использовать TLSv1.3.
Отдельно приятно во фряхе отсутствие GUI по-умолчанию, отсутствие кучи левых пакетов, тормозящих комп.

Готов поставить другую ОСь, если там будет свежий апач и openssl без танцев с бубном и шаманских рецептов. (подключение сторонних репозитариев = шаманский рецепт)

[ky0]

Антон Кокарев, берёте дистрибутив последнего, 10-го дебиана. Там openssl 1.1.1, то есть TLS 1.3 присутствует. Устанавливаете веб-сервер, устанавливаете certbot - всё это есть в официальном репозитории. Никаких танцев, никакого гуя.

Почему апач в 2019, так и не понял, кстати :)

[Антон Кокарев]

ky0, ок, попробую дебиан, но я тоже не понимаю почему тоже самое нельзя сделаю на фряхе?

Апач в 2019... а почему нет? Не вижу причин не использовать его: стабильный, обновляется и поддерживается.

[Антон Кокарев]

Кстати certbot умеет апач и умеет freebsd. Но ему видимо конфиг по-умолчанию не понравился, ставил в режиме --manual и standonly

Answer 1

[xmoonlight]

Давайте мыслить "трезво": что Вы сделали, чтобы соответствовать требованиям?

Comments

[Антон Кокарев]

Оценку A получил:
* ключ шифрования 4096 бит;
* TLSv1.3 +TLSv1.2
* Отключил все что смог алгоритмы WEEK, но несколько осталось...
Пытался еще как-то править конфиг, в итоге все поломал, certbot не работает, apache не стартует. Сейчас хочу увидет пример рабочего конфига А+ и поправить под себя.

[Антон Кокарев]

помимо настройки Apache
- сделал нормальную PTR запись на свой домен/IP
- ищу DNS поддерживающий CAA запись или ищу как поднять свой DNS сервер

[xmoonlight]

Антон Кокарев, :((( у Вас ещё много работы!

[Антон Кокарев]

xmoonlight, какой именно работы? У вас есть рабочий конфиг для апач с правильными CipherSuits, SSLProtocol, подменой header Secure cookies и прочим лесом? Последнее что адекватное видел в поиске датируется 2015 годом...

[xmoonlight]

Антон Кокарев, в том то и работа! Работайте и у Вас всё будет на своих местах!
Это я говорю, xmoonlight!

[Антон Кокарев]

xmoonlight, спасибо за моральную поддержку, это очень важно для меня сейчас. Когда мне удастся получить оценку A+, могли бы Вы выпить со мной по кружечке комбуча за мой успех?

[xmoonlight]

Антон Кокарев, всё зависит от того, как Вы - относитесь к себе (это не зависит от напитка и это дословно!)

Answer 2

[athacker]

Qualys же отчёт выдаёт, где все косяки указывает, которые не дают повысить результат теста. Прочитайте, да исправьте, какие проблемы?

Comments

[Антон Кокарев]

Проблема с неотключаемыми CipherSuits. Всегда остаются некоторые WEEK... Поэтому прошу рабочий конфиг.

[athacker]

Антон Кокарев, в смысле, "неотключаемыми"? Задайте тот список шибронаборов, которые вам нужен, и всё.

P/S/:
"week" -- (англ.) неделя;
"weak" -- (англ.) слабый.

Answer 3

[Виктор Таран]

ssl_dhparam
не забываем поставить вопрос решен ;)

Comments

[Антон Кокарев]

еще не решен

[Виктор Таран]

ну ты хоть домен скажи
или как раскручивать в интернете то реклама и радуемся каждопу посетителю
а как че дело так сайт становится секретным?