nginx 1.16.0 -julkaisu

Vuoden kehitystyön jälkeen edustaa uusi vakaa haara tehokas HTTP-palvelin ja moniprotokolla-välityspalvelin nginx 1.16.0, joka absorboi päähaaraan kertyneet muutokset 1.15.x. Jatkossa kaikki vakaan haaran 1.16 muutokset liittyvät vakavien virheiden ja haavoittuvuuksien poistamiseen. Pian muodostuu nginx 1.17:n päähaara, jonka sisällä uusien ominaisuuksien kehittäminen jatkuu. Tavallisille käyttäjille, joiden tehtävänä ei ole varmistaa yhteensopivuutta kolmannen osapuolen moduulien kanssa, suositeltava käyttää päähaaraa, jonka perusteella kaupallisen tuotteen Nginx Plus julkaisut muodostetaan kolmen kuukauden välein.

Merkittävimmät parannukset lisätty 1.15.x ylävirran haaran kehityksen aikana:

• Lisätty mahdollisuus käyttää muuttujia direktiiveissässl_certificate'i'ssl_certificate_key', jota voidaan käyttää varmenteiden dynaamiseen lataamiseen;
• Lisätty mahdollisuus ladata SSL-varmenteita ja salaisia ​​avaimia muuttujista ilman välitiedostoja;
• Korttelissa "yläjuoksulla» uusi direktiivi käyttöön «satunnainen“, jonka avulla voit järjestää kuormituksen tasapainotuksen satunnaisella palvelimella yhteyden välittämistä varten;
• Moduulissa ngx_stream_ssl_preread muuttuja otettu käyttöön $ssl_preread_protocol,
  joka määrittää asiakkaan tukeman SSL/TLS-protokollan korkeimman version. Muuttuja sallii luoda kokoonpanoja pääsyä varten useilla eri protokollilla SSL:llä ja ilman yhden verkkoportin kautta välityspalvelinta liikennettä käyttämällä http- ja stream-moduuleita. Jos esimerkiksi haluat järjestää pääsyn SSH:n ja HTTPS:n kautta yhden portin kautta, portti 443 voidaan oletusarvoisesti välittää SSH:lle, mutta jos SSL-versio on määritetty, eteenpäin HTTPS:ään.

• Uusi muuttuja on lisätty ylävirran moduuliin "$upstream_bytes_lähetetty", joka näyttää ryhmäpalvelimelle siirrettyjen tavujen määrän;
• Moduuliin virta yhden istunnon aikana on lisätty mahdollisuus käsitellä useita asiakkaalta saapuvia UDP-datagrammeja;
• direktiivi"proxy_requests", määrittää asiakkaalta vastaanotettujen datagrammien määrän, jonka saavuttaessa asiakkaan ja olemassa olevan UDP-istunnon välinen sidos poistetaan. Vastaanotettuaan määritetyn määrän datagrammeja, seuraava samalta asiakkaalta vastaanotettu datagrammi aloittaa uuden istunnon;
• Kuunteludirektiivillä on nyt mahdollisuus määrittää porttialueet;
• Lisätty ohje "ssl_early_data» ottaaksesi tilan käyttöön 0-RTT käytettäessä TLSv1.3:a, jonka avulla voit tallentaa aiemmin neuvotellut TLS-yhteysparametrit ja vähentää RTT:iden määrää 2:een, kun jatkat aiemmin muodostettua yhteyttä;
• Uusia ohjeita on lisätty lähtevien yhteyksien säilyttämisen määrittämiseksi (SO_KEEPALIVE-vaihtoehdon ottaminen käyttöön tai poistaminen käytöstä socketeille):
  • «proxy_socket_keepalive" - määrittää "TCP Keepalive" -käyttäytymisen välityspalvelimeen lähteville yhteyksille;
  • «fastcgi_socket_keepalive" - määrittää "TCP Keepalive" -käyttäytymisen lähteville yhteyksille FastCGI-palvelimelle;
  • «grpc_socket_keepalive" - määrittää "TCP Keepalive" -käyttäytymisen lähteville yhteyksille gRPC-palvelimelle;
  • «memcached_socket_keepalive" - määrittää "TCP Keepalive" -käyttäytymisen lähteville yhteyksille välimuistipalvelimeen;
  • «scgi_socket_keepalive" - määrittää "TCP Keepalive" -käyttäytymisen lähteville yhteyksille SCGI-palvelimelle;
  • «uwsgi_socket_keepalive" - määrittää "TCP Keepalive" -käyttäytymisen lähteville yhteyksille uwsgi-palvelimelle.
• direktiivissä "limit_req" lisätty uusi parametri "viive", joka asettaa rajan, jonka jälkeen ylimääräiset pyynnöt viivästyvät;
• Uudet käskyt "keepalive_timeout" ja "keepalive_requests" on lisätty "upstream" -lohkoon asettamaan rajoituksia Keepalivelle;
• "ssl"-direktiivi on vanhentunut, ja se on korvattu "ssl"-parametrilla "kuuntelu"-direktiivissä. Puuttuvat SSL-sertifikaatit havaitaan nyt konfiguraatiotestausvaiheessa, kun käytetään "kuuntele"-komentoa "ssl"-parametrilla asetuksissa;
• Käytettäessä reset_timedout_connection-direktiiviä yhteydet suljetaan nyt 444-koodilla, kun aikakatkaisu umpeutuu;
• SSL-virheet "http-pyyntö", "https-välityspalvelinpyyntö", "ei tuettu protokolla" ja "versio liian alhainen" näkyvät nyt lokissa tasolla "info" "crit" sijaan;
• Lisätty tuki kyselymenetelmälle Windows-järjestelmissä käytettäessä Windows Vistaa tai uudempaa;
• Mahdollisuus käyttää TLSv1.3 kun rakennat BoringSSL-kirjastolla, ei vain OpenSSL:llä.

Lähde: opennet.ru