Udgivelse af nginx 1.16.0

Efter et års udvikling præsenteret en ny stabil række af den højtydende HTTP-server og multiprotokol proxyserver nginx 1.16.0, som har samlet ændringerne fra hovedforgreningen 1.15.x. Fremover vil alle ændringer i den stabile gren 1.16 være relateret til rettelse af alvorlige fejl og sårbarheder. Snart vil hovedgren nginx 1.17 blive dannet, hvor udviklingen af nye funktioner vil fortsætte. For almindelige brugere, der ikke har behov for at sikre kompatibilitet med tredjepartsmoduler, anbefales at bruge hovedgrenen, som er grundlaget for, at der hver tredje måned dannes udgivelser af det kommercielle produkt Nginx Plus.

De mest mærkbare forbedringer tilføjet under dannelsen af hovedgrenen 1.15.x:

• Muligheden for at bruge variabler i direktiverne 'ssl_certificate' og 'ssl_certificate_key', som kan bruges til dynamisk indlæsning af certifikater;
• Muligheden for at indlæse SSL-certifikater og hemmelige nøgler fra variabler uden at bruge mellemfilder;
• I blokken 'upstream' er der implementeret et nyt direktiv 'random', som gør det muligt at organisere belastningsbalancering med tilfældig valg af server for at viderestille forbindelsen;
• I modulet ngx_stream_ssl_preread er der implementeret en variabel $ssl_preread_protocol,
  , som bestemmer den højeste version af SSL/TLS-protokollen, som klienten understøtter. Variablen gør det muligt at oprette konfigurationer til adgang ved hjælp af forskellige protokoller med og uden SSL gennem én netværksport, når man viderestiller trafik ved brug af http- og stream-moduler. For eksempel kan standardporten 443 viderestilles til SSH for at organisere adgang til SSH og HTTPS, men hvis SSL-versionen er defineret, viderestilles den til HTTPS.
• I upstream-modulet er der tilføjet en ny variabel '$upstream_bytes_sent',som viser antallet af bytes sendt til gruppe serveren;I modulet
• er der tilføjet mulighed for at håndtere flere indgående UDP-datagrammer fra klienten inden for én session; stream I stream-modulet er der tilføjet direktivet '
• proxy_requestsproxy_anmodninger«, der angiver antallet af datagrammer modtaget fra klienten, hvorefter forbindelsen mellem klienten og den eksisterende UDP-session bliver fjernet. Efter modtagelse af det angivne antal datagrammer starter det næste datagram, modtaget fra den samme klient, en ny session;
• I listen direktivet er der nu mulighed for at angive portintervaller;
• Der er tilføjet direktivet «ssl_early_data» for at aktivere 0-RTT tilstand ved brug af TLSv1.3, hvilket gør det muligt at bevare tidligere aftalte TLS-forbindelsesparametre og reducere antallet af RTT til 2 ved genoptagelse af en tidligere etableret forbindelse;
• For at konfigurere keepalive for udgående forbindelser (aktivering eller deaktivering af SO_KEEPALIVE-optionen for sockets) er der tilføjet nye direktiver:
  • «proxy_socket_keepalive» — konfigurerer adfærden af «TCP keepalive» for udgående forbindelser til den proxede server;
  • «fastcgi_socket_keepalive» — konfigurerer adfærden af «TCP keepalive» for udgående forbindelser til FastCGI-serveren;
  • «grpc_socket_keepalive» — konfigurerer adfærden af «TCP keepalive» for udgående forbindelser til gRPC-serveren;
  • «memcached_socket_keepalive» — konfigurerer adfærden af «TCP keepalive» for udgående forbindelser til memcached-serveren;
  • «scgi_socket_keepalive» — konfigurerer adfærden af «TCP keepalive» for udgående forbindelser til SCGI-serveren;
  • «uwsgi_socket_keepalive» — konfigurerer adfærden af «TCP keepalive» for udgående forbindelser til uwsgi-serveren.
• I direktivet «limit_req » er en ny parameter «delay» tilføjet, som angiver grænsen, hvorefter overskydende forespørgsler forsinkes;
• I blokken «upstream» er nye direktiver «keepalive_timeout» og «keepalive_requests» tilføjet for at angive grænser for Keepalive;
• Direktivet «ssl» er blevet deklareret som forældet, og det er blevet erstattet af parameteren «ssl» i direktivet «listen». Kontrol af manglende SSL-certifikater udføres nu under test af konfigurationen ved brug af direktivet «listen» med parameteren «ssl»;
• Ved brug af direktivet reset_timedout_connection lukkes forbindelser, der overskrider timeout, nu ved hjælp af kode 444;
• SSL-fejlene «http request», «https proxy request», «unsupported protocol» og «version too low» vises nu i loggen med niveauet «info» i stedet for «crit»;
• Støtte til poll-metoden er tilføjet på Windows-systemer ved brug af Windows Vista og nyere;
• Muligheden for at bruge TLSv1.3 er sikret ved at samle med BoringSSL-biblioteket og ikke kun med OpenSSL.

Kilde: opennet.ru