Vydání nginx 1.16.0

Po roce vývoje byla představena nová stabilní větev vysoce výkonného HTTP serveru a multiplatformního proxy serveru nginx 1.16.0, které zahrnuje změny shromážděné v rámci hlavní větve 1.15.x. V budoucnu budou všechny změny ve stabilní větvi 1.16 zaměřeny na odstranění závažných chyb a zranitelností. Brzy bude vytvořena hlavní větev nginx 1.17, v rámci které bude pokračovat vývoj nových funkcí. Pro běžné uživatele, kteří nemají za úkol zajistit kompatibilitu se třetími stranami, se doporučuje používat hlavní větev, na jejímž základě se každé tři měsíce vytvářejí vydání komerčního produktu Nginx Plus.

Nejvýraznější vylepšení přidaná v procesu vytváření hlavní větve 1.15.x:

• Byla přidána možnost použití proměnných v direktivách ‘ssl_certificate‘ a ‘ssl_certificate_key‘, což lze využít pro dynamické načítání certifikátů;
• Byla přidána možnost načítání SSL certifikátů a tajných klíčů z proměnných bez použití mezipaměťových souborů;
• V bloku „upstream“ byla implementována nová direktiva „random“, pomocí které lze organizovat vyvažování zátěže s náhodným výběrem serveru pro přesměrování spojení;
• V modulu ngx_stream_ssl_preread byla implementována proměnná $ssl_preread_protocol,
  která určuje nejvyšší verzi protokolu SSL/TLS, kterou klient podporuje. Tato proměnná umožňuje vytvářet konfigurace pro přístup s využitím různých protokolů se SSL i bez SSL přes jeden síťový port při proxyování provozu s využitím modulů http a stream. Například pro organizaci přístupu přes SSH a HTTPS prostřednictvím jednoho portu 443 lze ve výchozím nastavení přesměrovat na SSH, ale pokud je určena verze SSL, přesměrovat na HTTPS.
• Do modulu upstream byla přidána nová proměnná „$upstream_bytes_sent“, která zobrazuje počet bajtů odeslaných na server skupiny;
• Do modulu stream v rámci jednoho sezení byla přidána možnost zpracování několika příchozích UDP datagramů od klienta;
• Do modulu stream byla přidána direktiva „proxy_requests“, která určuje počet datagramů přijatých od klienta, po jehož překročení se ruší vazba mezi klientem a existující UDP seancí. Po přijetí uvedeného počtu datagramů další datagram přijatý od téhož klienta zahajuje novou seanci;
• V direktivě listen se objevila možnost specifikovat rozsahy portů;
• Byla přidána direktiva „ssl_early_data“ pro aktivaci režimu 0-RTT při používání TLSv1.3, který umožňuje uchovat dříve dohodnuté parametry TLS připojení a snížit na 2 počet RTT při obnovení dříve ustanoveného spojení;
• Pro nastavení keepalive pro odchozí spojení (zapnutí nebo vypnutí volby SO_KEEPALIVE pro sokety) byly přidány nové direktivy:
  • «proxy_socket_keepalive» — konfiguruje chování „TCP keepalive“ pro odchozí spojení k proxy serveru;
  • «fastcgi_socket_keepalive» — konfiguruje chování „TCP keepalive“ pro odchozí spojení k FastCGI serveru;
  • «grpc_socket_keepalive» — konfiguruje chování „TCP keepalive“ pro odchozí spojení k gRPC serveru;
  • «memcached_socket_keepalive» — konfiguruje chování „TCP keepalive“ pro odchozí spojení k memcached serveru;
  • «scgi_socket_keepalive» — konfiguruje chování „TCP keepalive“ pro odchozí spojení k SCGI serveru;
  • «uwsgi_socket_keepalive» — konfiguruje chování „TCP keepalive“ pro odchozí spojení k uwsgi serveru.
• Do direktivy „limit_req“ byl přidán nový parametr „delay“, určující limit, při jehož dosažení jsou nadbytečné požadavky zpožděny;
• Do bloku „upstream“ byly přidány nové direktivy „keepalive_timeout“ a „keepalive_requests“ pro nastavení limitů pro Keepalive;
• Byla prohlášena za zastaralou direktiva „ssl“, která byla nahrazena parametrem „ssl“ v direktivě „listen“. Určení chybějících SSL certifikátů se nyní provádí během testování konfigurace s použitím v nastaveních direktivy „listen“ s parametrem „ssl“;
• Při použití direktivy reset_timedout_connection se nyní při vypršení časového limitu uzavírají s použitím kódu 444;
• SSL chyby „http request“, „https proxy request“, „unsupported protocol“ a „version too low“ se nyní zobrazují v logu s úrovní „info“ namísto „crit“;
• Byla přidána podpora metody poll na systémech Windows při použití Windows Vista a novějších;
• Byla zajištěna možnost použití TLSv1.3 při sestavení s knihovnou BoringSSL, a ne pouze s OpenSSL.

Zdroj: opennet.ru