Apache 模块 mod_tls

虚拟主机上下文中的 TLS

Listen 443
TLSEngine 443

<VirtualHost *:443>
  ServerName example.net
  TLSCertificate file_with_certificate.pem file_with_key.pem
  ...
</VirtualHost>

以上是一个最小配置。与其在每个虚拟主机中启用 mod_tls，不如指定传入 TLS 连接的端口。

您不能在同一端口上混合使用 mod_ssl 和 mod_tls 的虚拟主机。只能选择其中一个。支持 SNI 和 ALPN。您可以在同一端口上使用多个虚拟主机，并混合使用 http/1.1 和 h2 等协议。

与 mod_ssl 的功能比较

下表比较了 mod_ssl 和 mod_tls 的功能。如果 mod_ssl 的功能没有列在这里，则 mod_tls 不支持它。最相关的区别可能是当前版本的 mod_tls 不支持客户端证书。

TLS 协议

mod_tls 支持 TLS 协议版本 1.2 和 1.3。如果将来出现版本 1.4 并且 rustls 支持它，它也将可用。

在 mod_tls 中，您配置要使用的最小版本，而不是最大版本

TLSProtocol TLSv1.3+

这允许在与您的服务器或特定虚拟主机通信时，仅使用版本 1.3 以及将来可能出现的任何后续版本。

TLS 密码

可以在 此处找到 rustls 库中支持的 TLS 密码列表。所有 TLS v1.3 密码都受支持。对于 TLS v1.2，仅支持 rustls 认为安全的密码。

mod_tls 支持以下 TLS 密码名称

1. 使用 `_` 分隔部分的 IANA 分配的名称。例如：TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
2. 使用 `-` 作为分隔符的 OpenSSL 名称（对于 1.2）。例如：ECDHE-ECDSA-AES256-SHA384。此类名称通常出现在文档中。mod_tls 为所有 TLS v1.2 密码定义了它们。对于 TLS v1.3 密码，也支持以 TLS13_ 开头的名称。
3. 使用 16 位数值的 IANA 分配的标识符。例如：0xc024。您可以在配置中使用 TLS_CIPHER_0xc024。

您可以配置对密码的偏好，这意味着它们将用于支持它们的客户端。如果您没有配置偏好，rustls 将使用它认为最好的密码。建议这样做。

如果您仍然需要优先使用一个密码而不是另一个密码，您可以这样配置

TLSCiphersPrefer ECDHE-ECDSA-AES256-SHA384
# or several
TLSCiphersPrefer ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305

如果您命名了一个未知的密码，配置将失败。如果您命名的密码不受 rustls 支持（或由于安全原因不再受 rustls 的更新版本支持），mod_tls 将记录一个 WARNING，但会继续工作。

如果您想禁用特定密码，则存在类似的机制

TLSCipherSuppress ECDHE-ECDSA-AES256-SHA384

被抑制的密码将不再使用。如果您命名了一个未知的密码，配置将失败。如果您命名的密码不受 rustls 支持（或由于安全原因不再受 rustls 的更新版本支持），mod_tls 将记录一个 WARNING，但会继续工作。

虚拟主机

mod_tls 使用 SNI（服务器名称指示）来选择与正在服务的端口匹配的已配置虚拟主机之一。如果客户端没有提供 SNI，将选择第一个配置的虚拟主机。如果客户端确实提供了 SNI（就像今天所有的客户端都做的那样），它必须与一个虚拟主机（ServerName 或 ServerAlias）匹配，否则连接将失败。

与 mod_ssl 一样，您可以为基本服务器（全局）和/或通过 SNI 由客户端选择的单个虚拟主机指定密码和协议版本。

Listen 443
TLSEngine 443

<VirtualHost *:443>
  ServerName example1.net
  TLSCertificate example1-cert.pem
  ...
</VirtualHost>

<VirtualHost *:443>
  ServerName example2.net
  TLSCertificate example2-cert.pem
  ...
  TLSProtocol v1.3+
</VirtualHost>

上面的示例显示了同一端口上虚拟主机的不同 TLS 设置。这是支持的。example1 可以通过所有 TLS 版本联系，而 example2 仅允许 v1.3 或更高版本。

ACME 证书

通过 mod_md 的 ACME 证书受支持，就像 mod_ssl 一样。最小配置

Listen 443
TLSEngine 443
MDomain example.net

<VirtualHost *:443>
  ServerName example.net
  ...
</VirtualHost>

OCSP 装订

mod_tls 没有自己的实现来检索证书的 OCSP 信息。但是，如果 mod_md 提供了装订，它将使用装订。有关如何启用此功能，请参阅 mod_md 的文档。

TLS 变量

通过指令 TLSOptions，一些变量被放置到请求的环境中，并且可以被检查，例如在 CGI 脚本中。

变量名称由 mod_ssl 给出。请注意，这些只是 mod_ssl 公开的众多变量的一个子集。

变量 SSL_SESSION_ID 故意不被支持，因为它包含敏感信息。

客户端证书

虽然 rustls 原则上支持客户端证书，但服务器中用于使用这些证书的部分基础设施没有提供。

这些功能包括：吊销列表、证书扩展的检查以及用于 OCSP 验证的匹配颁发者链。没有这些，无法吊销客户端证书。提供没有吊销的认证不被认为是一个选择。

这项工作将继续进行，客户端证书支持可能会在将来的版本中提供。