Cómo habilitar TLS 1.3 en Nginx
Transport Layer Security (TLS) 1.3 es la última versión del protocolo Transport Layer Security (TLS), publicado como estándar IETF en RFC 8446 en agosto de 2018. El protocolo TLS 1.3 proporciona mejoras de privacidad y rendimiento en comparación con las versiones anteriores de TLS y no. -HTTP seguro.
Desde la versión 1.13.0, Nginx ha agregado soporte para TLS 1.3. Actualmente, la mayoría de las distribuciones de Linux no contienen las versiones requeridas de Nginx y OpenSSL en sus repositorios de software predeterminados, por lo que probablemente deba compilar Nginx usted mismo con OpenSSL 1.1.1+. Las únicas distribuciones de Linux que tienen soporte nativo para TLS 1.3 son Ubuntu 18.10, Fedora 29 y Debian 10 (todavía no lanzadas a la fecha). Si necesita una guía sobre cómo compilar Nginx desde la fuente, puede seguir este tutorial de Howtoforge. En este tutorial, supondré que ya tiene una configuración de TLS en funcionamiento y que ha compilado Nginx contra OpenSSL 1.1.1+ siguiendo mi tutorial vinculado y sabe cómo usar Let’s Encrypt, o sabe cómo emitir un certificado autofirmado.
Requisitos
Para habilitar TLS 1.3 en Nginx, deberá cumplir con los siguientes requisitos:
- Nginx versión 1.13.0 o superior construido contra OpenSSL 1.1.1 o superior.
- Un certificado TLS válido o uno autofirmado. Puede obtener uno gratis de Let’s Encrypt.
Habilite TLS 1.3 en Nginx
Para habilitar TLS 1.3 en Nginx, simplemente agregue el parámetro TLSv1.3 a la directiva ssl_protocols.
ssl_protocols TLSv1.2 TLSv1.3;
Y recarga tu configuración de Nginx:
sudo systemctl reload nginx.service
Eso es todo lo que hay que hacer cuando se trata de configurar Nginx. Solo un simple cambio y TLS 1.3 debería funcionar.
Aquí está la configuración mínima del servidor virtual para TLS 1.3 que puede verse así:
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name example.com;
root /var/www/example.com/public;
ssl_certificate /path/to/your/certificate.crt;
ssl_certificate_key /path/to/your/private.key;
ssl_protocols TLSv1.2 TLSv1.3;
}
Para verificar si su servidor es compatible con TLS 1.3, puede usar las herramientas de desarrollo de su navegador o la prueba del servidor SSLLabs. Las siguientes son las capturas de pantalla del navegador Google Chrome que muestran TLS 1.3 en acción.
Y eso es todo lo que hay que hacer para habilitar TLS 1.3 en su servidor Nginx.