nginx 1.16.0 väljaanne

Pärast aastat arendust esitatud uus stabiilne haru kõrge jõudlusega HTTP-serverist ja mitme protokolli vahendist nginx 1.16.0, mis sisaldab muutusi, mis on kogunenud peamises 1.15.x harus. Edaspidi seonduvad kõik stabiilse 1.16 haru muudatused tõsiste vigade ja haavatavuste kõrvaldamisega. Varsti moodustatakse põhiharu nginx 1.17, kus jätkatakse uute võimaluste arendamist. Tavalistele kasutajatele, kellel pole nõuet tagada ühilduvust kolmandate osapoolte moodulitega, soovitame saavad kasutada põhiharu, mille alusel koostatakse iga kolme kuu tagant kommertstoote Nginx Plus väljalasked.

Peamised parandused, mis lisati põhiharu 1.15.x kujundamise protsessi käigus:

• Lisatud võimalus kasutada muutujaid direktiivides „ssl_certificate“ ja „ssl_certificate_key“, mida saab kasutada sertifikaatide dünaamiliseks laadimiseks;
• Lisatud võimalus laadida SSL-sertifikaate ja salajasi võti muutujatest ilma vahefailide kasutamiseta;
• Blokis „upstream“ on rakendatud uus direktiiv „random“, mille abil saab korraldada koormuse tasakaalustamist juhusliku serveri valikuga ühenduse edastamiseks;
• moodulis ngx_stream_ssl_preread rakendatud muutujaga $ssl_preread_protocol,
  mille määrab suurima SSL/TLS protokolli versiooni, mille toetab klient. Muutuja võimaldab luua konfiguratsioone juurdepääsuks erinevate protokollide kaudu SSL-iga ja ilma SSL-ita ühe võrgu pordi kaudu, edastades liiklust http ja stream moodulite kaudu. Näiteks SSH ja HTTPS juurdepääsu korraldamiseks võib vaikimisi port 443 suunata SSH-le, kuid kui SSL-i versioon on määratud, siis suunata HTTPS-ile.
• Upstream moodulisse on lisatud uus muutuja „$upstream_bytes_sent“, mis näitab serveri rühmale edastatud baitide arvu;
• Moodulisse stream ühe seansi raames on lisatud võimalus töödelda mitmeid sissetulevaid UDP-datagramme kliendilt;
• Stream moodulisse on lisatud direktiiv „proxy_requests“, mis määrab datagrammide arvu, mis saadakse kliendilt, pärast mille saamist eemaldatakse seos kliendi ja olemasoleva UDP-seansi vahel. Pärast määratud datagrammide arvu saamist käivitab sama kliendi järgmine datagramm uue seansi;
• Listen direktiivis on nüüd võimalik määrata sadamate vahemikke;
• Lisatud direktiiv „ssl_early_data“ režiimi sisselülitamiseks 0-RTT TLSv1.3 kasutamisel võimaldab säilitada varem kokkulepitud TLS-ühenduse parameetreid ja vähendada varem loodud ühenduse taastamisel RTT arvu kahele;
• Väljuvate ühenduste keepalive seadistamiseks (SO_KEEPALIVE suvandi lubamine või keelamine soketites) on lisatud uusi direktiive:
  • «proxy_socket_keepalive» — konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele edastusserveriga;
  • «fastcgi_socket_keepalive» — konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele FastCGI-serveriga;
  • «grpc_socket_keepalive» — konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele gRPC-serveriga;
  • «memcached_socket_keepalive» — konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele memcached-serveriga;
  • «scgi_socket_keepalive» — konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele SCGI-serveriga;
  • «uwsgi_socket_keepalive» — konfigureerib «TCP keepalive» käitumise väljuvatele ühendustele uwsgi-serveriga.
• Direktiivi «limit_req » on lisatud uus parameeter «delay», mis määrab piiri, millest üle minnes viibitakse liigsetes päringutes;
• Blokki «upstream» on lisatud uued direktiivid «keepalive_timeout» ja «keepalive_requests» Keepalive piiride seadmiseks;
• Dekking sisaldab nüüd puuduvate SSL-sertifikaatide määratlemist konfigureerimise testimise etapis, kui kasutatakse 'listen' direktiivi koos 'ssl' parameetriga.
• Direktiivi reset_timedout_connection kasutamisel suletakse ühendused pärast timeouti rakendades koodi 444.
• SSL-veisid 'http request', 'https proxy request', 'unsupported protocol' ja 'version too low' näidatakse nüüd logis tasemel 'info' asemel 'crit'.
• Windows Vista ja uuemate süsteemide puhul on lisatud poll meetodi tugi.
• On tagatud võimalus kasutada TLSv1.3 koos BoringSSL-kogumiga, mitte ainult OpenSSL-iga.

Allikas: opennet.ru