Nginx-Proxy-Manager TLS 1.3 aktivieren?

Oggy1

EDIT: Ab Nginx-Proxy-Manager v2.10.4 ist TLS1.3 scheinbar jetzt von Haus aus aktiviert…

Hier geht es zur derzeitigen Lösung: Nginx-Proxy-Manager 2.10.3 mit TLS 1.3 Support, so habe ich es hinbekommen.

Auf der Seite https://www.ssllabs.com/ssltest/ kann man so einiges prüfen, was mit der Hompage, Server im Zusammenhang steht.

Soweit bin ich erstmal zufrieden…

nur stellt sich jetzt die Frage, wie man TLS 1.3 beim Nginx-Proxy-Manager aktivieren kann?

Wie immer findet man über google so einiges und wie immer passt das irgendwie nicht.

Oggy1

Ich habe es geschafft, TLS 1.3 ist nun aktiviert

TSL 1.3 läuft im NPM nicht, da dort OpenSSL Version 1.1.1n installiert ist (hier geht es nicht um die Version im LXC sondern um die im Docker Container)…

Wer es schafft die Version auf OpenSSL 3.0.8 7 Feb 2023 (Library: OpenSSL 3.0.8 7 Feb 2023) zu bekommen, kann dann unter nano /etc/nginx/conf.d/default.conf die Zeile ssl_protocols TLSv1.2 TLSv1.3; hinzufügen und nach nginx -s reload ist dann TLS 1.3 aktiv.

Ich wollte eine Anleitung erstellen, jedoch häng ich jetzt ständig bei dieser Fehlermeldung fest…

Reading package lists… Done
Building dependency tree
Reading state information… Done
The following packages were automatically installed and are no longer required:
cpp-8 libapt-pkg6.0 libasan5 libffi6 libfile-find-rule-perl libisl19 libmpdec2 libmpx2 libnumber-compare-perl libperl5.28 libpython3.7-minimal
libpython3.7-stdlib libsepol1 libtext-glob-perl libtsan0 libxxhash0 perl-modules-5.28 python3.7-minimal usrmerge
Use ‘apt autoremove’ to remove them.
0 upgraded, 0 newly installed, 0 to remove and 75 not upgraded.
1 not fully installed or removed.
After this operation, 0 B of additional disk space will be used.
Setting up usrmerge (35) …
Warning: overlayfs detected, /usr/lib/usrmerge/convert-usrmerge will not
be run automatically. See #1008202 for details.

If this is a container then it can be converted by unpacking the image,
entering it with chroot(8), installing usrmerge and then repacking the
image again. at /usr/lib/usrmerge/convert-usrmerge line 402.
E: usrmerge failed.
dpkg: error processing package usrmerge (–configure):
installed usrmerge package post-installation script subprocess returned error exit status 1
Errors were encountered while processing:
usrmerge
E: Sub-process /usr/bin/dpkg returned an error code (1)

Ich kann nur soviel sagen, dass es nicht ganz ohne wahr und ich echt froh bin, dass man mit Pmox so schöne Backups erstellen kann.

Master67

Aber hat sich das nicht Verschlechtert?
Zwar ist jetzt TLS 1.3 aktiv, aber davor hattest du 3 von 4 Balken auf 100%, jetzt nur noch zwei.

Mein Ergebnis ist natürlich Identisch mit deinem, aber das verwundert hier ja nicht, nutze ich ja auch den NPM :-)

Oggy1

Master67
jede Seite mit TLS 1.3, welche ich getestet habe, hat solch ein Ergebnis oder schlechter. Warum das so ist?

Warum der NPM TLS 1.3 nicht mehr unterstützt ist auch ein kleines Rätsel…

Master67

Oggy1 jede Seite mit TLS 1.3, welche ich getestet habe, hat solch ein Ergebnis oder schlechter. Warum das so ist?

Keine Ahnung, Ehrlich habe ich mich nicht mit Beschäftigt, alles was nicht Rot ist, ist Gut 😂

Oggy1 Warum der NPM TLS 1.3 nicht mehr unterstützt ist auch ein kleines Rätsel…

Keine Ahnung, warum hat Windows 11 hier TLS 2.0 zur Pflicht gemacht, war das wirklich soooo nötigt?
Aber ich bin nur Anwender, ich Vertraue da auf die Spezis in den USA oder im Fall von Linux auf die ganze Welt 😇

Oggy1

So, ich habe da jetzt wohl eine Lösung. Diese Anleitung bezieht sich auf die Installation und Update-Anleitung, wie ich diese hier gepostet habe. Das jeder sein Backup erstellt hat, ist ja eine Selbstverständlichkeit.

Installation vom Nginx-Proxy-Manager: https://www.technik22.de/d/737-nginx-proxy-manager-proxmox-ct-ubuntu-22042-lts-2210-2304
Upgrade vom Nginx-Proxy-Manager: https://www.technik22.de/d/663-nginx-proxy-manager-upgrade/21

Dieses Lösung hält nur bis zum nächsten Update vom Nginx-Proxy-Manager, da hier der Docker Container aktualisiert wird.
Aktuell habe ich diese Anleitung auf die aktuelle Nginx-Proxy-Manager v2.10.3 mehrfach erfolgreich getestet.

Nginx-Proxy-Manager 2.10.3 mit TLS 1.3 Support, so habe ich es hinbekommen.

Geht in euren Pmox Container und schaut welche ID der jc21/nginx-proxy-manager Container hat…
docker ps -a (zum Beispiel 1234567890)

Nun in den Container wechseln…
docker exec -ti Container-ID bash (zum Beispiel docker exec -ti 1234567890 bash)

Wenn es nun so aussieht wie auf dem Bild oben, dann nur noch diesen langen Code per “Kopieren und Einfügen” in die Konsole übertragen und zurücklehnen, der Vorgang kann einige Minuten dauern.
cd && apt update && apt dist-upgrade -y && apt install wget -y && apt install build-essential -y && apt install nano && apt remove openssl -y && wget https://www.openssl.org/source/openssl-3.1.0.tar.gz && tar -zxf openssl-3.1.0.tar.gz && cd openssl-3.1.0 && ./config shared -fPIC -dPIC && make depend && make && make install && ldconfig /usr/local/lib64/ && ln -s /usr/local/ssl/bin/openssl /usr/bin/ && ln -fs libssl.so.3.0.0 libssl.so && ln -fs libssl.so.3.0.0 libssl.so.10 && ln -fs libcrypto.so.3.0.0 libcrypto.so && ln -fs libcrypto.so.3.0.0 libcrypto.so.10 && openssl version

Wenn der ganze Spaß fertig ist, dann sollte die installierte OpenSSL Version 3.1.0 angezeigt werden

Nun in das Verzeichnis wechseln…
nano /etc/nginx/conf.d/default.conf

und diese Zeile hinzufügen vor return 444; hinzufügen
ssl_protocols TLSv1.2 TLSv1.3;

Jetzt noch einen Neustart von Nginx
nginx -s reload

und schon sollte es so aussehen…

Oggy1

Update:

Ich habe den ganzen Spaß jetzt nochmal mit OpenSSL Version 1.1.1n getestet, also die Version welche beim NPM dabei ist.

Wie oben beschrieben erst in den Container wechseln…

Getestet habe ich das mit NPM 2.10.2 und 2.10.3, bei beiden Versionen reicht dieser Code…
apt update && apt dist-upgrade -y && apt install nano

Nun in das Verzeichnis wechseln…
nano /etc/nginx/conf.d/default.conf

und diese Zeile hinzufügen vor return 444; hinzufügen
ssl_protocols TLSv1.2 TLSv1.3;

Jetzt noch einen Neustart von Nginx
nginx -s reload

Es muss also die OpenSSL Version nicht aktualisiert werden (oder vielleicht doch?), keine Ahnung was ich anfangs falsch gemacht habe.
Nun ist klar, es funktioniert auch mit einer älteren OpenSSL Version, also die, welche dabei ist.
Warum der Programmierer TLS 1.3 wieder rausgenommen hat weiß ich nicht, vielleicht gibt es mit der OpenSSL Version 1.1.1n Probleme, denn laut Internet konnte der NPM einst mal TLS 1.3 ohne das man nachhelfen musste.

Oggy1

Ab Nginx-Proxy-Manager v2.10.4 ist TLS1.3 scheinbar jetzt von Haus aus aktiviert…

Master67

Na dann werde ich das auch mal uppen 👍️

Master67

So geupdatet…..