debian – BGDNS

Оценка А+ от SSLLabs за сайтовете ни разположени на Nginx

Posted on 15.04.2019 | by BGDNS

За да получите възможно най-високата оценка А+ за конфигурация на инсталираните SSL сертификати на сървъра Ви от сайта SSLLabs е нужно да направим леки корекции в конфигурационния файл на nginx, в който е описан SSL сертификата за вашето уеб приложение. За целта го отваряме с vi или nano, например:

nano /etc/nginx/sites-enabled/domain.com-ssl.conf

1	nano /etc/nginx/sites-enabled/domain.com-ssl.conf

Непосредствено след редовете с:

ssl on;
ssl_dhparam /etc/nginx/ssl/dh.pem;
ssl_certificate /etc/letsencrypt/live/domain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/domain.com/privkey.pem;

ssl on;

ssl_dhparam /etc/nginx/ssl/dh.pem;

ssl_certificate /etc/letsencrypt/live/domain.com/fullchain.pem;

ssl_certificate_key /etc/letsencrypt/live/domain.com/privkey.pem;

Добавяме следното:

ssl_protocols TLSv1.2;
ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:ECDHE-RSA-AES128-GCM-SHA256:AES256+EECDH:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;

ssl_protocols TLSv1.2;

ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:ECDHE-RSA-AES128-GCM-SHA256:AES256+EECDH:DHE-RSA-AES128-GCM-SHA256:AES256+EDH:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4";

ssl_prefer_server_ciphers on;

ssl_session_cache shared:SSL:10m;

След като приключим с конфигурацията, проверяваме дали е синтактично издържана и дали ще бъде приета от nginx с:

nginx -c /etc/nginx/nginx.conf -t

1	nginx -c /etc/nginx/nginx.conf -t

и ако е всичко е наред и получите резултат „configuration file /etc/nginx/nginx.conf test is successful“

рестартираме nginx уеб сървъра:

systemctl restart nginx

1	systemctl restart nginx

Това е. Сега може да тествате сайта си.
Инструкциите са тествани на:

Debian Jessie (Debian 8)
Debian Stretch (Debian 9)
CentOS 6
CentOS 7

Аналогинчен трябва да е начина и при другите операционни системи като Ubuntu, OpenSUSE, Gentoo и други, като трябва да вземете предвид пътя до конфигурацията на vhost файла на сайта.

Оценка А+ от SSLLabs за сайтовете ни разположени на Apache

Posted on 18.10.2017 | by BGDNS

За да получите възможно най-високата оценка А+ за конфигурация на инсталираните SSL сертификати на сървъра Ви от сайта SSLLabs е нужно да направим леки корекции в конфигурационния файл на apache модула mod_ssl. За целта го отваряме с vi или nano:

nano /etc/apache2/mods-enabled/ssl.conf

1	nano /etc/apache2/mods-enabled/ssl.conf

и най-долу преди </IfModule> добавяме следното:

## SSL Global Config
## Getting an "A+" on Qualys SSL Labs with Apache 2.2/2.4
SSLHonorCipherOrder On
SSLVerifyClient none
SSLVerifyDepth 1
SSLProtocol -All +TLSv1.2 +TLSv1.1 +TLSv1
SSLCipherSuite "EECDH+AES:AES256-SHA:AES128-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH:!EXP:!SRP:!DSS:!LOW"
SSLInsecureRenegotiation Off
Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains"

## SSL Global Config

## Getting an "A+" on Qualys SSL Labs with Apache 2.2/2.4

SSLHonorCipherOrder On

SSLVerifyClient none

SSLVerifyDepth 1

SSLProtocol -All +TLSv1.2 +TLSv1.1 +TLSv1

SSLCipherSuite "EECDH+AES:AES256-SHA:AES128-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH:!EXP:!SRP:!DSS:!LOW"

SSLInsecureRenegotiation Off

Header always set Strict-Transport-Security "max-age=15768000; includeSubDomains"

Накрая е нужно да активираме mod_headers и да рестартираме apache:

a2enmod headers && service apache2 restart

1	a2enmod headers && service apache2 restart

Това е. Сега може да тествате сайта си.
Инструкциите са тествани на:

Debian Wheezy (Debian 7)
Debian Jessie (Debian 8)
Debian Stretch (Debian 9)

Аналогинчен е начина и при другите операционни системи като CentOS, Ubuntu, OpenSUSE, Gentoo и други, с разликата, че там е хубаво тези директиви да са описани в глобалния apache2.conf/httpd.conf

Как да сменим името на интерфейса от ens на eth

Posted on 16.09.2017 | by BGDNS

Досадното сменяне на интерфейса трови живота на много хора, в новите версии на Debian, Ubuntu и другите debian базирани се наблюдава масово мрежовият интерфейс да има име от рода на ensXаY. Тук описвам кратка процедура за смяна на името на интерфейса. Започваме.

Отиваме в конфигурацията на grub

nano /etc/default/grub

1	nano /etc/default/grub

там намираме следния ред

GRUB_CMDLINE_LINUX=""

1	GRUB_CMDLINE_LINUX=""

променяме го да изглежда така:

GRUB_CMDLINE_LINUX="net.ifnames=0 biosdevname=0"

1	GRUB_CMDLINE_LINUX="net.ifnames=0 biosdevname=0"

след което конфигурираме наново grub-a:

grub-mkconfig -o /boot/grub/grub.cfg

1	grub-mkconfig -o /boot/grub/grub.cfg

после отива и си сменяме имената на интерфейсите в interfaces файла:

nano /etc/network/interfaces

1	nano /etc/network/interfaces

auto ens19
iface ens19 inet dhcp

1 2	auto ens19 iface ens19 inet dhcp

на

auto eth0
iface eth0 inet dhcp

1 2	auto eth0 iface eth0 inet dhcp

Накрая рестартираме сървъра:

reboot

reboot

Източник: linuxbg.eu