这是我第一次体验 Amazon Lighsail、Wordpress Multisite、Bitnami 甚至使用让我们加密;现在似乎一切都正常,除了我的虚拟主机文件中的 SSL 指令。
因为似乎主要浏览器 - 又名Chrome,Safari/Webkit,Mozilla Firefox和IE/Edge - 将在新年开始时(恰好在一月和三月(删除对TLS 1.0和TLS 1.1的支持,所以我想知道如何在Lightsail中的新Wordpress多站点实例中禁用它们。
在我获得Let's Encript SSL证书并成功部署它后,我对其进行了测试,以验证TLS 1.0和TLS 1.1是否与TLS 1.2一起启用。 现在看来我的 Apache 版本 2.4.39 也支持 TLS 1.3,我正在尝试启用它并禁用两个旧版本。 在网上阅读我发现我必须更改 httpd.conf 文件才能插入此指令
SSLProtocol -all +TLSv1.2
所以,在httpd.conf文件中,我找到了这个块,这似乎是正确的地方:
# Default SSL Virtual Host configuration.
<IfModule !ssl_module>
LoadModule ssl_module modules/mod_ssl.so
</IfModule>
Listen 443
SSLProtocol all -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA$
SSLPassPhraseDialog builtin
SSLSessionCache "shmcb:/opt/bitnami/apache2/logs/ssl_scache(512000)"
SSLSessionCacheTimeout 300
<VirtualHost _default_:443>
DocumentRoot "/opt/bitnami/apache2/htdocs"
SSLEngine on
SSLCertificateFile "/opt/bitnami/apache2/conf/mydomain.crt"
SSLCertificateKeyFile "/opt/bitnami/apache2/conf/mydomain.key"
<Directory "/opt/bitnami/apache2/htdocs">
Options Indexes FollowSymLinks
AllowOverride All
<IfVersion < 2.3 >
Order allow,deny
Allow from all
</IfVersion>
<IfVersion >= 2.3 >
Require all granted
</IfVersion>
</Directory>
# Error Documents
ErrorDocument 503 /503.html
# Bitnami applications installed with a prefix URL (default)
Include "/opt/bitnami/apache2/conf/bitnami/bitnami-apps-prefix.conf"
</VirtualHost>
我试图简单地更新httpd.conf和httpd-ssl.conf,但没有任何附录:TLS 1.3不起作用,TLS 1.0和TLS 1.1总是启用。
现在,我什至读了这个问题
在 Apache 2.4 中禁用 TLS 1.0
在我的添加之后,这是我在 httpd-ssl.conf 文件中的 SSL 指令:
# SSLProtocol all -SSLv3
SSLProtocol +TLSv1.2 +TLSv1.3
#SSLProtocol all -TLSv1 -SSLv3
SSLProxyProtocol all +TLSv1.2 +TLSv1.3
但是没有任何变化,现在我真的不知道如何启用TLS 1.3并禁用TLS 1.0和TLS 1.1。 当然,每次更改后,我都会重新启动Apache。
我也遇到了这个问题,并提出了以下解决方案:
- 从 Lightsail 控制面板打开 SSH 实例 导航到:/opt/bitnami/
- apache2/conf/bitnami/
- 将以下行添加到 bitnami.conf 文件的位置下:
收听 443
.#SSLProtocol -SSLv2 -SSLv3
SSLProtocol TLSv1.2
- >导航到:/opt/bitnami/apache2/conf/extra
- 在 httpd-ssl.conf 文件中,将主题标签添加到以下行(不带 . (:
.#SSLCipherSuite 高:中:!MD5:!RC4:!3DES
.#SSLProxyCipherSuite 高:中:!MD5:!RC4:!3DES
现在从以下行中删除 hastag,使它们读作:
SSLCipherSuite HIGH:MEDIUM:!SSLv3:!kRSA
SSLProxyCipherSuite HIGH:MEDIUM:!SSLv3:!kRSA
- 现在在"#SSL 协议支持"下,将设置更改为如下所示:
SSLProxyProtocol -TLSv1.2 -TLSv1.3 -SSLv3
重新启动 apache 使用: sudo/opt/bitnami/ctlscript.sh restart apache
在以下两个位置检查您的网站:
https://www.whynopadlock.com
https://www.ssllabs.com/ssltest
您现在应该收到 A 分数,并且不支持 TLS 1.0 和 TLS 1.1 协议。
可能尚无法启用 TLSv1.3。 根据这个bitnami的社区线程:
[ https://community.bitnami.com/t/tlsv1-3-support-for-new-lamp-stack-installers/67672 ]
TLSv1.3 仅支持 Apache 版本 2.4.36 和 OpenSSL 1.1.1...我们的堆栈包含 OpenSSL 1.0.2,因此目前无法启用该协议。对不起,内科...
正在等待更新...
如果您的网站落后于 Cloudflare 或类似服务,那么无论您是否已在bitnami.conf
中正确设置SSLProtocol
,您都需要在 Cloudflare 本身上进行 TLS 更改。