Início / unix / Perguntas / 430212
Accepted
Pro Backup
Asked: 2018-03-15 08:11:38 +0800 CST

Como obter o arquivo de parâmetro DH recomendado pela IETF RFC7919 a bordo de um roteador (para Nginx)?

  • 772

De acordo com o lado do servidor Mozilla, o TLS deve usarffdhe2048 os grupos DH predefinidos ffdhe3072ou ffdhe4096recomendados pelo IETF no RFC 7919 .

Meu roteador está executando o Nginx (e Linux), portanto, ssl_dhparamdeve ser definido.

Nenhum pacote gnutls

No entanto, o roteador, seu sistema de gerenciamento de pacotes (Entware-NG), não possui um gnutlspacote, conforme sugerido para instalação por Adam, o Sysadmin .

arquivo de parâmetros DH

Qual é uma maneira simples de obter o arquivo de parâmetros DH a bordo de um roteador executando a distribuição padavan (derivada do openwrt) via SSH?

nginx ssl

1 respostas

  1. Best Answer

    Aqui estão alguns forros shell one copiados e coláveis ​​para os parâmetros DH 2048 (médio) e 3072 (alto).

    Ffdhe2048 (recomendado para compatibilidade)

    $ { echo -----BEGIN\ DH\ PARAMETERS-----; echo MIIBDAKCAQEA//////////+t+FRYortKmq/cViAnPTzx2LnFg84tNpWp4TZBFGQz; echo +8yTnc4kmz75fS/jY2MMddj2gbICrsRhetPfHtXV/WVhJDP1H18GbtCFY2VVPe0a;echo 87VXE15/V8k1mE8McODmi3fipona8+/och3xWKE2rec1MKzKT0g6eXq8CrGCsyT7; echo YdEIqUuyyOP7uWrat2DX9GgdT0Kj3jlN9K5W7edjcrsZCwenyO4KbXCeAvzhzffi; echo 7MA0BM0oNC9hkXL+nOmFg/+OTxIy7vKBg8P+OxtMb61zO7X8vC7CIAXFjvGDfRaD; echo ssbzSibBsu/6iGtCOGEoXJf//////////wIBAgICAQA=; echo -----END\ DH\ PARAMETERS-----;  } > /opt/etc/nginx/ssl/dhparam_2048.pem && chmod 600 /opt/etc/nginx/ssl/dhparam_2048.pem

    Em nginx.conf, quando não estiver lá, adicione:

    ssl_dhparam          ssl/dhparam_2048.pem;

    Ou use ffdhe3072

    $ { echo -----BEGIN\ DH\ PARAMETERS-----; echo MIIBjAKCAYEA//////////+t+FRYortKmq/cViAnPTzx2LnFg84tNpWp4TZBFGQz; echo +8yTnc4kmz75fS/jY2MMddj2gbICrsRhetPfHtXV/WVhJDP1H18GbtCFY2VVPe0a; echo 87VXE15/V8k1mE8McODmi3fipona8+/och3xWKE2rec1MKzKT0g6eXq8CrGCsyT7; echo YdEIqUuyyOP7uWrat2DX9GgdT0Kj3jlN9K5W7edjcrsZCwenyO4KbXCeAvzhzffi; echo 7MA0BM0oNC9hkXL+nOmFg/+OTxIy7vKBg8P+OxtMb61zO7X8vC7CIAXFjvGDfRaD; echo ssbzSibBsu/6iGtCOGEfz9zeNVs7ZRkDW7w09N75nAI4YbRvydbmyQd62R0mkff3; echo 7lmMsPrBhtkcrv4TCYUTknC0EwyTvEN5RPT9RFLi103TZPLiHnH1S/9croKrnJ32; echo nuhtK8UiNjoNq8Uhl5sN6todv5pC1cRITgq80Gv6U93vPBsg7j/VnXwl5B0rZsYu; echo N///////////AgECAgIBFA==; echo -----END\ DH\ PARAMETERS-----;  } > /opt/etc/nginx/ssl/dhparam_3072.pem && chmod 600 /opt/etc/nginx/ssl/dhparam_3072.pem

    Em nginx.conf, quando não estiver lá, adicione:

    ssl_dhparam          ssl/dhparam_3072.pem;
    • 1

relate perguntas