Az nginx 1.16.0 kiadása

Egy év fejlesztés után bemutatva új stabil ágja a nagy teljesítményű HTTP szervernek és a többprotokollos proxy szervernek nginx 1.16.0, amely magába foglalja az 1.15.x fő ága során felhalmozott változásokat. A továbbiakban az 1.16 stabil ágon végrehajtott összes módosítás a súlyos hibák és sebezhetőségek kijavítására összpontosít. Hamarosan megalakul az nginx 1.17 fő ága, amely keretében új lehetőségek fejlesztése folytatódik. Az átlagos felhasználók számára, akiknek nincsenek harmadik féltől származó modulokkal való kompatibilitási igényeik, ajánlott az alapág használata, amely alapján háromhavonta elkészülnek a kereskedelmi termék, az Nginx Plus kiadásai.

A legfigyelemreméltóbb fejlesztések, amelyeket az 1.15.x fő ágba való átmenet során adtak hozzá:

• Lehetőség nyílt változók használatára az ‘ssl_certificate‘ és ‘ssl_certificate_key‘ direktívákban, amelyek lehetővé teszik a tanúsítványok dinamikus betöltését;
• Lehetőség van SSL-tanúsítványok és titkos kulcsok változók használatával való betöltésére köztes fájlok nélkül;
• A „upstream“ blokkban bevezetésre került az „random“ új direktíva, amely lehetővé teszi a terheléselosztást véletlenszerű szerver kiválasztásával a kapcsolat átirányításához;
• A modulban ngx_stream_ssl_preread megvalósította az $ssl_preread_protocol,
  változót, amely meghatározza a legmagasabb SSL/TLS protocolos verziót, amelyet az ügyfél támogat. Ez a változó lehetővé teszi, hogy különféle protokollokkal való hozzáférést konfiguráljunk SSL és SSL nélkül egyetlen hálózati porton keresztül a stream és http modulok használatával. Például SSH és HTTPS hozzáférést lehet biztosítani egyetlen 443 porton keresztül, amely alapértelmezésként SSH-ra van irányítva, de ha az SSL verzió meg van határozva, akkor HTTPS-re kell irányítani. A upstream modulhoz hozzáadódott az „
• $upstream_bytes_sent“ új változó, amely a csoport szerverének továbbított bájtok számát mutatja;a kapcsolatkeresési időszakban lehetőség nyílt több bejövő UDP-datagramma feldolgozására az ügyféltől;
• A modulhoz stream A stream modulhoz hozzáadták a „
• proxy_requests“ direktívát, amely meghatározza azt a datagramm-számot, amelyet az ügyféltől kap az alkalmazás, és amely elérése esetén megszűnik a kapcsolat a meglévő UDP-munkamenettel. A megadott számú datagramm után a következő datagramm, amelyet ugyanattól az ügyféltől kaptak, új munkamenetet indít;A listen direktívában lehetőség nyílt portszám tartományok megadására;
• ssl_early_data
• Hozzáadva az „“ a 0-RTT üzemmód aktiválásához.» a mód engedélyezéséhez 0-RTT A TLSv1.3 használatával, amely lehetővé teszi a korábban megállapított TLS-kapcsolati paraméterek megőrzését és a以前i kapcsolat újbóli létrejöttének RTT-jének 2-re csökkentését.
• Az outgoing kapcsolatok keepalive beállításához (a SO_KEEPALIVE opció bekapcsolásához vagy kikapcsolásához a socket-ek esetén) új direktívák kerültek hozzáadásra:
  • «proxy_socket_keepalive» — konfigurálja a «TCP keepalive» viselkedését a proxyszervhez irányuló outgoing kapcsolatok esetén.
  • «fastcgi_socket_keepalive» — konfigurálja a «TCP keepalive» viselkedését a FastCGI szerverhez irányuló outgoing kapcsolatok esetén.
  • «grpc_socket_keepalive» — konfigurálja a «TCP keepalive» viselkedését a gRPC szerverhez irányuló outgoing kapcsolatok esetén.
  • «memcached_socket_keepalive» — konfigurálja a «TCP keepalive» viselkedését a memcached szerverhez irányuló outgoing kapcsolatok esetén.
  • «scgi_socket_keepalive» — konfigurálja a «TCP keepalive» viselkedését az SCGI szerverhez irányuló outgoing kapcsolatok esetén.
  • «uwsgi_socket_keepalive» — konfigurálja a «TCP keepalive» viselkedését az uwsgi szerverhez irányuló outgoing kapcsolatok esetén.
• A «limit_req» direktívához hozzáadva egy új «delay» paraméter, amely megadja a limitet, amelynek elérésekor a felesleges kéréseket késleltetik.
• Az «upstream» blokkhoz új direktívák kerültek hozzáadásra, a «keepalive_timeout» és «keepalive_requests», amelyek a Keepalive limitjeit adják meg.
• A «ssl» direktíva elavultnak lett nyilvánítva, amelyet az «ssl» paraméter vált fel a «listen» direktívában. Az hiányzó SSL-tanúsítványok most a konfiguráció tesztelése során kerülnek észlelésre, amikor a «listen» direktívában az «ssl» paramétert használják.
• A «reset_timedout_connection» direktíva használatakor a kapcsolat időtúllépésekor most 444-es kóddal záródik le.
• SSL hibák, mint a «http request», «https proxy request», «unsupported protocol» és «version too low» most «info» szintű logban jelennek meg a «crit» helyett.
• A poll módszer támogatása került hozzáadásra Windows rendszerekhez Windows Vista és újabb verziók esetén.
• Lehetővé vált a TLSv1.3 használata a BoringSSL könyvtárral végzett fordítás esetén, nem csupán az OpenSSL-lel.

Forrás: opennet.ru