nginx 1.16.0 väljalase

Pärast aasta arendust esitati uus stabiilne kõrgtasemeline HTTP-serveri ja mitme protokolli vahetussüsteemi haru nginx 1.16.0, mis sisaldab muudatusi, mis on kogutud põhiharust 1.15.x. Edaspidi seondub kõikide muudatustega stabiilses harus 1.16 tõsiste vigade ja haavatavuste kõrvaldamine. Peagi luuakse põhiharu nginx 1.17, kus jätkub uute võimaluste arendamine. Tavalistele kasutajatele, kes ei pea tagama ühildumist kolmandate osapoolte moodulitega, soovitatakse soovitatakse kasutada põhiharusid, mille baasil luuakse iga kolme kuu tagant kaubandusliku toote Nginx Plus väljalasked.

Kõige silmapaistvamad täiustused, mis on lisatud põhiharu 1.15.x arendamise käigus:

• Lisatud võimalus kasutada muutujaid direktiivides ‘ssl_certificate‘ ja ‘ssl_certificate_key‘, mida saab kasutada sertifikaatide dünaamiliseks laadimiseks;
• Lisatud võimalus laadida SSL-sertifikaate ja salajasi võtmeid muutujatest ilma vahefailide kasutamiseta;
• Blokis ‘upstream‘ rakendatakse uut direktiivi ‘random‘, mille abil saab korraldada koormuse tasakaalustamise juhusliku serveri valikuga for ühenduse edastamiseks;
• Moodulis ngx_stream_ssl_preread rakendatakse muutuja $ssl_preread_protocol,
  , mis määrab kõige kõrgema SSL/TLS protokolli versiooni, mille toetab klient. Muutuja võimaldab luua konfiguratsioone erinevate protokollidega juurdepääsuks SSL-i ja ilma SSL-ita ühe võrgupordi kaudu, edastades liiklust http ja stream moodulite abil. Näiteks, et korraldada juurdepääs SSH ja HTTPS kaudu ühe pordi 443 kaudu, saab vaikimisi suunata SSH-le, kuid kui SSL-i versioon on määratud, suunata HTTPS-ile.
• Upstream-moodulisse on lisatud uus muutuja ‘$upstream_bytes_sent‘, mis näitab rühma serverile edastatud baitide arvu;
• Moodulisse stream on ühe sessiooni raames lisatud võimalus töödelda mitmeid sissetulevaid UDP-gramme kliendilt;
• Stream moodulisse on lisatud direktiiv ‘proxy_requests«, määrates daatagrame, mis on saadud kliendilt, milleni künniseni eemaldatakse seotus kliendi ja olemasoleva UDP-seansi vahel. Kui määratud arv daatagrame on saadud, hakkab järgmine daatagram, mis saadakse samalt kliendilt, uut seanssi;
• Listen direktiivis on nüüd võimalik määrata portide vahemikke;
• Lisatud on direktiiv «ssl_early_data», et võimaldada režiimi 0-RTT , kui kasutatakse TLSv1.3, mis võimaldab säilitada eelnevalt kokkulepitud TLS-seansi parameetreid ja vähendada RTT arvu 2-ni varasema seansi taastamisel;
• Väljuvate ühenduste keepalive seadistamiseks (SO_KEEPALIVE valiku sisselülitamiseks või väljalülitamiseks socket’ites) on lisatud uued direktiivid:
  • «proxy_socket_keepalive» - konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele edastusserveriga;
  • «fastcgi_socket_keepalive» - konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele FastCGI-serveriga;
  • «grpc_socket_keepalive» - konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele gRPC-serveriga;
  • «memcached_socket_keepalive» - konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele memcached-serveriga;
  • «scgi_socket_keepalive» - konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele SCGI-serveriga;
  • «uwsgi_socket_keepalive» - konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele uwsgi-serveriga.
• Direktiivi «limit_req » on lisatud uus parameeter «delay», mis määrab künnise, mille saavutamisel viibitakse üleliigsete päringute tõttu;
• Upstream plokki on lisatud uued direktiivid «keepalive_timeout» ja «keepalive_requests» Keepalive piiride määramiseks;
• Direktiiv «ssl» on kuulutatud vananenuks, mille asenduseks on tulnud «ssl» parameeter listen direktiivis. Puuduvate SSL-sertifikaatide määramine toimub nüüd konfiguratsiooni testimise etapis, kui kasutatakse direktiivi listen seadistustes koos parameetriga «ssl»;
• Direktiivi reset_timedout_connection kasutamisel sulgevad ühendused nüüd aja üleminekul koodi 444 kohaselt;
• SSL vead «http request», «https proxy request», «unsupported protocol» ja «version too low» kuvatakse nüüd logis info tasemega, mitte kritiek tasemega;
• Windows Vista ja uuemal, on lisatud toetust poll meetodile;
• On tagatud võimalus kasutada TLSv1.3 , kui see on kokku pandud BoringSSL teegiga, mitte ainult OpenSSL-iga.

Allikas: opennet.ru