宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

2020年8月21日 1 1,259 2090字阅读6分58秒

昨天折腾了一个AlphaSSL泛域名证书后,心血来潮去SSL评分网站测试了一番,最后的结果竟然是B,这真是不能忍啊……

为啥会是B,查看了原因,竟然是启用了TLS 1.1,所以为B。那么,删除TLS 1.1不就可以了,确实可以。不过,你的姿势可能不正确。这篇文章就来介绍下宝塔面板搭建的站点,如何正确开启TLS 1.3并删除TLS 1.1, 让你的网站SSL评分达到A+ 。

1、简介

TLS和加密连接在网络性能方面总是会带来轻微的开销。HTTP/2能帮助解决这个问题,但TLS 1.3通过TLS错误启动和零往返时间(0-RTT)等功能帮助加速加密连接。宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

简单地说,在TLS 1.2中,需要两次往返才能完成TLS握手。使用TLS 1.3时,它只需要一次往返 这又将加密延迟减半。这有助于这些加密连接比以前更快一点。所以说优点如下:

  1. 更快的访问速度
  2. 增强安全性
  3. 可以减少 TLS 握手的时间

2、宝塔面板开启TLS 1.3

当我们申请SSL证书后,最新版本的宝塔面板是默认开 ssl_ciphers  启TLS 1.3协议的。注意,如果你这里没有TLS 1.3,可以在 ssl_protocols 这一行后面加上 TLSv1.3 即可,看图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

虽然开启了TLS 1.3,不过这样是不行的。我们去SSL评分下,发现会是B。如图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

This server supports TLS 1.1. Grade capped to B.(因为服务器支持TLS 1.1,所以为B)

3、删除TLS 1.1协议

1)删除TLS 1.1也很简单,在网站配置文件中,删除TLS 1.1,只保留TLSv1.2 TLSv1.3即可。如图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

2)一些坑需要注意:如果你的服务器有好几个站点,并且都配置了SSL,那么你需要删除所有站点的TLS 1.1,不然,你检测会是一直B。

4、配置TLS 1.3

删除TLS 1.1之后,我们只保留删除TLS 1.2和TLS 1.3,额如果激进一点,可以只保留一个TLS 1.3。之后,我们修改下: ssl_ciphers  具体如下:

 ssl_ciphers TLS13-AES-256-GCM-SHA384:TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-128-GCM-SHA256:EECDH+CHACHA20:EECDH+CHACHA20-draft:EECDH+ECDSA+AES128:EECDH+aRSA+AES128:EECDH+ECDSA+AES256:EECDH+aRSA+AES256:!MD5;

看图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

5、测试效果

在线检测地址 :https://www.ssllabs.com/ssltest/analyze.html

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

额,竟然是A,看来还是不完美啊。

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

看到DNS CAA  No 看来我们还需要设置下这个。

6、设置DNS CAA(可选)

这个玩意建议使用CAA记录自动在线生成来搞定。

在线工具:https://sslmate.com/caa/

1)点开网页后输入域名,选择Auto-Generate Policy

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

2)找到Publish Your CAA Policy,如图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

现在我们可以设置dns记录了。

7、设置HSTS Preload

1)就算设置了DNS CAA,我们得到的评分依然是A,所以还差了最重要的一步,就是设置设置HSTS Preload。额,最简单的设置就是一行代码,如下:

add_header Strict-Transport-Security "max-age=63072000; includeSubdomains; preload";

2)如何放置呢,nginx服务器只需要放置到你的 HTTPS 配置的 server 块中即可,宝塔面板这样放即可。如图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

3)A+来了,设置好保存,我在此检测,发现A+到手。

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

8、设置DNS

这里以cloudflare为例,国内DNS商家目前基本都支持了CAA记录了。如何设置看图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

设置好保存即可。我们在去检测下,效果如图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

设置成功。

9、设置DNSSEC(可选配置)

一般情况下DNS CAA是和DNSSEC搭配起来使用的,不过国内的DNS服务商对于DNSSEC支持的不够好。这里还是以cloudflare为例。

1)启用DNSSEC

在cloudflare中点开自己的域名管理,在dns中,往下拉找到DNSSEC,点击启用即可。

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

启用之后,看到如下截图,按图设置即可。

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

2)设置DS记录

具体设置看图:

宝塔面板正确开启TLS 1.3并删除TLS 1.1 – 附如何设置DNS CAA以及DNSSEC,让你的SSL评分得到A+

注意:

  • 类型:选择DS
  • 密钥标记:根据给你的数字,自己填写
  • 算法:13
  • 摘要类型:给你的设置中有。
  • 摘要:也在给你的设置中,自己根据内容填写。

 

10、最后

1)DNS CAA 和 DNSSEC 这两个都是可选配置,可以不用倒腾。

2)TLS1.1需要删除,这样对于提高网站访问速度有一点帮助。

3)DNSSEC国内支持的很差,大家了解下即可。

4)如果不开启HSTS Preload无法得到A+,所以开不开HSTS Preload自己斟酌,不过开启HSTS Preload可以加快网站的访问速度。如果不需要就删除那段代码即可,不过更科学的设置看这篇文章(启用HSTS并加入HSTS Preload List-附删除HSTS方法

  • 我的微信
  • 分享宝塔面板建站技术交流等!
  • weinxin
  • 微信公众号
  • 关注本博公众号
  • weinxin
大鸟
匿名

发表评论

匿名网友

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen:

评论:1   其中:访客  0   博主  0
    • 坤泽教育 坤泽教育 2

      学到了学到了