第 2 章 配置支持的 TLS 协议版本

流程

1. 可选：显示 Directory 服务器中当前启用的 TLS 协议：

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security get | egrep -i "sslVersionMin|sslVersionMax"
   sslversionmin: TLS1.2
   sslversionmax: TLS1.3

   Copy to Clipboard Toggle word wrap

2. 设置最小 TLS 协议。例如，要将它设置为 TLS 1.3，请输入：

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security set --tls-protocol-min="TLS1.3"

   Copy to Clipboard Toggle word wrap

   请注意，您无法将参数设置为比 TLS 1.2 低的值，这是所有 RHEL 系统范围的加密策略配置集的最低值。

3. 不建议：设置支持最高的 TLS 协议：

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security set --tls-protocol-max="TLS1.3"

   Copy to Clipboard Toggle word wrap

   如果将 --tls-protocol-max 设置为小于 --tls-protocol-min 的值，则 Directory 服务器会将最大协议设置为与最小值相同的值。

   要始终使用强大的支持加密协议作为支持的最大 TLS 版本，请不要设置 --tls-protocol-max。

4. 重启实例：

   # dsctl instance_name restart

   Copy to Clipboard Toggle word wrap

验证

1. 显示支持的 TLS 协议：

   # dsconf -D "cn=Directory Manager" ldap://server.example.com security get | egrep -i "sslVersionMin|sslVersionMax"
   sslversionmin: TLS1.3
   sslversionmax: TLS1.3

   Copy to Clipboard Toggle word wrap

2. 使用 openssl 实用程序使用特定的 TLS 协议建立安全客户端连接：

   # echo | openssl s_client -connect server.example.com:636 -tls1_3
   ...
   New, TLSv1.3, Cipher is TLS_AES_128_GCM_SHA256
   ...

   Copy to Clipboard Toggle word wrap