nginx 1.16.0 väljalase

Pärast aastast arengut on esitatud suure jõudlusega HTTP-serveri ja mitme protokolli puhverserveri uus stabiilne haru nginx 1.16.0, mis neelas põhiharusse kogunenud muutused 1.15.x. Edaspidi on kõik stabiilse haru 1.16 muudatused seotud tõsiste vigade ja haavatavuste kõrvaldamisega. Peagi moodustub nginx 1.17 põhiharu, mille raames jätkub uute funktsioonide arendamine. Tavakasutajatele, kelle ülesanne ei ole tagada ühilduvust kolmandate osapoolte moodulitega, on soovitatav kasutage põhiharu, mille alusel moodustatakse iga kolme kuu tagant kommertstoote Nginx Plus väljalasked.

Märkimisväärseimad täiustused, mis on lisatud 1.15.x ülesvoolu haru arendamise käigus:

• Lisatud on võimalus kasutada muutujaid direktiividesssl_certificate' ja 'ssl_certificate_key', mida saab kasutada sertifikaatide dünaamiliseks laadimiseks;
• Lisatud võimalus laadida muutujatest SSL-sertifikaate ja salajasi võtmeid ilma vahefaile kasutamata;
• Plokis "vastuvoolu» uus direktiiv rakendatud «juhuslik“, mille abil saate korraldada koormuse tasakaalustamist juhusliku serveri valikuga ühenduse edastamiseks;
• Moodulis ngx_stream_ssl_preread muutuja rakendatud $ssl_preread_protocol,
  mis määrab SSL/TLS-protokolli kõrgeima versiooni, mida klient toetab. Muutuja lubab luua konfiguratsioone juurdepääsuks erinevate SSL-iga ja ilma SSL-i protokollide kaudu ühe võrgupordi kaudu liikluse puhverserveril, kasutades http- ja voomooduleid. Näiteks SSH ja HTTPS-i kaudu juurdepääsu korraldamiseks ühe pordi kaudu saab pordi 443 vaikimisi SSH-le edastada, aga kui SSL-versioon on määratletud, siis edasi HTTPS-i.

• Ülesvoolu moodulisse on lisatud uus muutuja "$ülesvoolu_baiti_saadetud", mis kuvab rühmaserverisse edastatud baitide arvu;
• Moodulisse oja ühe seansi jooksul on lisatud võimalus töödelda mitut kliendilt sissetulevat UDP datagrammi;
• direktiiv"proxy_requests", määrab kliendilt vastuvõetud datagrammide arvu, mille saavutamisel eemaldatakse side kliendi ja olemasoleva UDP-seansi vahel. Pärast määratud arvu datagrammide saamist alustab järgmine samalt kliendilt saadud datagramm uut seanssi;
• Kuulamisdirektiivil on nüüd võimalus määrata pordivahemikke;
• Lisatud käsk "ssl_early_data» režiimi lubamiseks 0-RTT kui kasutate TLSv1.3, mis võimaldab salvestada eelnevalt kokkulepitud TLS-ühenduse parameetrid ja vähendada RTT-de arvu 2-ni, kui jätkate varem loodud ühendust;
• Lisatud on uued juhised, et konfigureerida väljaminevate ühenduste säilitamine (suvandi SO_KEEPALIVE lubamine või keelamine pistikupesade jaoks):
  • «proxy_socket_keepalive" - konfigureerib puhverserveriga väljuvate ühenduste käitumise "TCP Keepalive";
  • «fastcgi_socket_keepalive" - konfigureerib FastCGI serveriga väljuvate ühenduste käitumise "TCP Keepalive";
  • «grpc_socket_keepalive" - konfigureerib "TCP Keepalive" käitumise gRPC serveriga väljuvate ühenduste jaoks;
  • «memcached_socket_keepalive" - konfigureerib vahemällu salvestatud serveriga väljuvate ühenduste käitumise "TCP Keepalive";
  • «scgi_socket_keepalive" - konfigureerib SCGI serveriga väljuvate ühenduste käitumise "TCP Keepalive";
  • «uwsgi_socket_keepalive" - konfigureerib uwsgi serveriga väljuvate ühenduste käitumise "TCP Keepalive".
• käskkirjas "limit_req" lisatud uus parameeter “delay”, mis seab limiidi, mille järel üleliigsed päringud viivitatakse;
• Uued direktiivid "keepalive_timeout" ja "keepalive_requests" on lisatud "ülesvoolu" plokki, et seada Keepalive'i piirangud;
• Direktiiv "ssl" on aegunud, asendatud "ssl" parameetriga "kuulamis" direktiivis. Puuduvad SSL-sertifikaadid tuvastatakse nüüd konfiguratsiooni testimise etapis, kui kasutatakse käsku "kuula" koos parameetriga "ssl" seadetes;
• Kui kasutate direktiivi reset_timedout_connection, suletakse ühendused nüüd 444 koodiga, kui ajalõpp aegub;
• SSL-i vead "http-päring", "https-puhverserveri taotlus", "toetamata protokoll" ja "versioon liiga madal" kuvatakse nüüd logis "crit" asemel tasemega "info";
• Lisatud küsitlusmeetodi tugi Windowsi süsteemides Windows Vista ja uuemate versioonide kasutamisel;
• Kasutamise võimalus TLSv1.3 kui ehitate koos BoringSSL-i teegiga, mitte ainult OpenSSL-iga.

Allikas: opennet.ru