Apache 模組 mod_tls

TLS 在 VirtualHost 內容中

Listen 443
TLSEngine 443

<VirtualHost *:443>
  ServerName example.net
  TLSCertificate file_with_certificate.pem file_with_key.pem
  ...
</VirtualHost>

上面是最小的組態。不是在每個虛擬主機中啟用 mod_tls，而是指定進入 TLS 連線的埠。

您無法在相同埠上混合使用具備 mod_ssl 和 mod_tls 的虛擬主機。只能擇一。支援 SNI 和 ALPN。您可以在相同埠上使用許多虛擬主機，並混合使用 http/1.1 和 h2 等多種協定。

與 mod_ssl 的功能比較

下表比較 mod_ssl 和 mod_tls 之間的功能。如果這裡未列出 mod_ssl 的功能，表示 mod_tls 不支援。一個差異，而且可能是最相關的一個，就是 mod_tls 的目前版本缺少對客戶端憑證的支援。

TLS 協定

mod_tls 支援 TLS 協定版本 1.2 和 1.3。如果日後有版本 1.4，且 rustls 支援，也會提供。

在 mod_tls 中，您組態要使用的最小版本，永不用組態最大值

TLSProtocol TLSv1.3+

這允許僅版本 1.3，以及可能成為後繼版本與您的伺服器或某個特定虛擬主機交談。

TLS 加密

在 rustls 函式庫支援的 TLS cipher 的清單中，可以 在此處 找到。所有 TLS v1.3 cipher 都受支援。對於 TLS v1.2，只有 rustls 視為安全的 cipher 可用。

mod_tls 支援 TLS cipher 的下列名稱

1. IANA 指派的 使用 `_` 來區分部分的名稱。範例：TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
2. OpenSSL 名稱，使用 `-` 作為分隔符號 (針對 1.2)。範例：ECDHE-ECDSA-AES256-SHA384。此類名稱經常顯示於文件說明中。`mod_tls` 為所有 TLS v1.2 cipher 定義這些名稱。對於 TLS v1.3 cipher，也會支援以 `TLS13_` 開頭的名稱。
3. IANA 指派的識別碼是一個 16 位元數值。範例：0xc024。您可以在設定檔中以 TLS_CIPHER_0xc024 的方式使用這項值。

您可以設定 cipher 的偏好，表示這些 cipher 會用於支援其的客戶端。如果您未設定偏好，rustls 會使用它視為最佳的偏好。此方法是建議的做法。

如果您仍需要偏好一個 cipher 超過另一個 cipher，您可以使用以下方式設定

TLSCiphersPrefer ECDHE-ECDSA-AES256-SHA384
# or several
TLSCiphersPrefer ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305

如果您指定一名稱不明的 cipher，設定將會失敗。如果您指定的名稱未獲得 rustls 支援 (或因安全考量而不再獲得更新版本 rustls 支援)，mod_tls 會記錄一則 警告，但會繼續運作。

如果您想停用特定 cipher，有一個類似的機制

TLSCipherSuppress ECDHE-ECDSA-AES256-SHA384

已壓制的 cipher 將不再使用。如果您指定一名稱不明的 cipher，設定將會失敗。如果您指定的名稱未獲得 rustls 支援 (或因安全考量而不再獲得更新版本 rustls 支援)，mod_tls 會記錄一則 警告，但會繼續運作。

虛擬主機

mod_tls 使用 SNI (伺服器名稱指示) 從符合所服務埠的已設定虛擬主機中選擇一個。如果客戶端未提供 SNI，將會選取設定中的**第一個**虛擬主機。如果客戶端**確實**提供 SNI (就像今日所有客戶端都會做的一樣)，就**必須符合**一個虛擬主機 (伺服器名稱 或 伺服器別名)；否則，連接將會失敗。

就像 mod_ssl 一樣，您可以替基本伺服器 (全域) 和/或透過 SNI 由客戶端選取的個體虛擬主機指定 cipher 和協定版本。

Listen 443
TLSEngine 443

<VirtualHost *:443>
  ServerName example1.net
  TLSCertificate example1-cert.pem
  ...
</VirtualHost>

<VirtualHost *:443>
  ServerName example2.net
  TLSCertificate example2-cert.pem
  ...
  TLSProtocol v1.3+
</VirtualHost>

以上範例顯示了在同一個埠上的虛擬主機的不同 TLS 設定。此方式受到支援。可以透過所有的 TLS 版本與 example1 聯繫，而 example2 只允許 v1.3 或後續版本。

ACME 憑證

ACME 憑證透過 mod_md 支援，就像 mod_ssl 一樣。基本設定

Listen 443
TLSEngine 443
MDomain example.net

<VirtualHost *:443>
  ServerName example.net
  ...
</VirtualHost>

OCSP Stapling

mod_tls 自身沒有實作來擷取證書的 OCSP 資訊。但是，如果 mod_md 提供的話，它會將這種資訊用於釘選。請參閱 mod_md 的文件，了解如何啟用此功能。

TLS 變數

透過指令 TLSOptions，已將多個變數放入要求環境中，並可在其中進行檢查，例如在 CGI 腳本中。

變數名稱由 mod_ssl 提供。請注意，這些僅是 mod_ssl 公開的多個變數的子集。

變數 SSL_SESSION_ID 故意不支援，因為它包含敏感資訊。

客戶端憑證

儘管原則上 rustls 支援客戶端證書，但沒有提供在伺服器中使用此證書的基礎架構部分。

這些功能包括：吊銷清單、證書延伸檢視以及 OCSP 驗證的匹配發行者鏈。沒有這些功能，便無法吊銷客戶端證書。提供沒有吊銷的驗證並非考量選項。

這項工作將繼續進行，而客戶端證書支援也可能於未來版本中提供。