ປ່ອຍ nginx 1.16.0

ຫຼັງຈາກປີຂອງການພັດທະນາ ນຳ ສະ ເໜີ ສາຂາທີ່ໝັ້ນຄົງໃໝ່ຂອງເຊີບເວີ HTTP ທີ່ມີປະສິດທິພາບສູງ ແລະເຊີບເວີພຣັອກຊີ multiprotocol nginx 1.16.0, ເຊິ່ງດູດເອົາການປ່ຽນແປງທີ່ສະສົມພາຍໃນສາຂາຕົ້ນຕໍ 1.15.x. ໃນອະນາຄົດ, ການປ່ຽນແປງທັງຫມົດໃນສາຂາທີ່ຫມັ້ນຄົງ 1.16 ຈະກ່ຽວຂ້ອງກັບການລົບລ້າງຄວາມຜິດພາດແລະຄວາມສ່ຽງທີ່ຮ້າຍແຮງ. ສາຂາຕົ້ນຕໍຂອງ nginx 1.17 ຈະຖືກສ້າງຕັ້ງຂຶ້ນໃນໄວໆນີ້, ເຊິ່ງການພັດທະນາຄຸນສົມບັດໃຫມ່ຈະສືບຕໍ່. ສໍາລັບຜູ້ໃຊ້ທົ່ວໄປທີ່ບໍ່ມີຫນ້າທີ່ຮັບປະກັນຄວາມເຂົ້າກັນໄດ້ກັບໂມດູນພາກສ່ວນທີສາມ, ແນະ ນຳ ໃຊ້ສາຂາຕົ້ນຕໍ, ບົນພື້ນຖານການອອກຜະລິດຕະພັນການຄ້າ Nginx Plus ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນທຸກໆສາມເດືອນ.

ການປັບປຸງທີ່ໂດດເດັ່ນທີ່ສຸດທີ່ເພີ່ມໃນລະຫວ່າງການພັດທະນາສາຂາ 1.15.x ເທິງນ້ໍາ:

• ເພີ່ມຄວາມສາມາດໃນການໃຊ້ຕົວແປໃນ 'ຄໍາສັ່ງssl_certificate' ແລະ 'ssl_certificate_key', ເຊິ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອໂຫຼດໃບຢັ້ງຢືນແບບເຄື່ອນໄຫວ;
• ເພີ່ມຄວາມສາມາດໃນການໂຫຼດໃບຢັ້ງຢືນ SSL ແລະກະແຈລັບຈາກຕົວແປໂດຍບໍ່ຕ້ອງໃຊ້ໄຟລ໌ກາງ;
• ໃນຕັນ "ສາຍນ້ ຳ» ຄຳສັ່ງສະບັບໃໝ່ໄດ້ຈັດຕັ້ງປະຕິບັດrandom“, ດ້ວຍການຊ່ວຍເຫຼືອທີ່ທ່ານສາມາດຈັດວາງການດຸ່ນດ່ຽງການໂຫຼດດ້ວຍການຄັດເລືອກແບບສຸ່ມຂອງເຄື່ອງແມ່ຂ່າຍສໍາລັບການສົ່ງຕໍ່ການເຊື່ອມຕໍ່;
• ໃນໂມດູນ ngx_stream_ssl_preread ຕົວແປທີ່ປະຕິບັດ $ssl_preread_protocol,
  ເຊິ່ງລະບຸເວີຊັນສູງສຸດຂອງໂປໂຕຄອນ SSL/TLS ທີ່ລູກຄ້າຮອງຮັບ. ຕົວແປອະນຸຍາດໃຫ້ ສ້າງ​ການ​ຕັ້ງ​ຄ່າ​ ສໍາລັບການເຂົ້າເຖິງການນໍາໃຊ້ໂປໂຕຄອນຕ່າງໆທີ່ມີແລະບໍ່ມີ SSL ໂດຍຜ່ານພອດເຄືອຂ່າຍດຽວໃນເວລາທີ່ proxying traffic ໂດຍໃຊ້ໂມດູນ http ແລະ stream. ຕົວຢ່າງ, ເພື່ອຈັດລະບຽບການເຂົ້າເຖິງຜ່ານ SSH ແລະ HTTPS ຜ່ານພອດຫນຶ່ງ, ພອດ 443 ສາມາດຖືກສົ່ງຕໍ່ໂດຍຄ່າເລີ່ມຕົ້ນໄປຫາ SSH, ແຕ່ຖ້າສະບັບ SSL ຖືກກໍານົດ, ສົ່ງຕໍ່ໄປຫາ HTTPS.

• ຕົວແປໃຫມ່ໄດ້ຖືກເພີ່ມເຂົ້າໃນໂມດູນຕົ້ນ "$upstream_bytes_sent", ເຊິ່ງສະແດງຈໍານວນ bytes ທີ່ຖືກໂອນໄປຫາເຄື່ອງແມ່ຂ່າຍຂອງກຸ່ມ;
• ກັບໂມດູນ ນ້ໍາ ພາຍໃນຫນຶ່ງກອງປະຊຸມ, ຄວາມສາມາດໃນການປຸງແຕ່ງ datagrams UDP ເຂົ້າມາຫຼາຍຈາກລູກຄ້າໄດ້ຖືກເພີ່ມ;
• ທິດ​ທາງ "proxy_requests", ກໍານົດຈໍານວນຂອງ datagrams ທີ່ໄດ້ຮັບຈາກລູກຄ້າ, ເມື່ອເຖິງການຜູກມັດລະຫວ່າງລູກຄ້າແລະກອງປະຊຸມ UDP ທີ່ມີຢູ່ແລ້ວຖືກໂຍກຍ້າຍ. ຫຼັງຈາກໄດ້ຮັບຈໍານວນ datagrams ທີ່ກໍານົດໄວ້, datagram ຕໍ່ໄປທີ່ໄດ້ຮັບຈາກລູກຄ້າດຽວກັນເລີ່ມຕົ້ນກອງປະຊຸມໃຫມ່;
• ຄໍາສັ່ງຟັງໃນປັດຈຸບັນມີຄວາມສາມາດກໍານົດຂອບເຂດພອດ;
• ເພີ່ມຄໍາສັ່ງ "ssl_early_data»ເພື່ອເປີດໃຊ້ໂໝດ 0-RTT ເມື່ອໃຊ້ TLSv1.3, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດບັນທຶກຕົວກໍານົດການເຊື່ອມຕໍ່ TLS ທີ່ເຈລະຈາຜ່ານມາແລະຫຼຸດລົງຈໍານວນ RTTs ເປັນ 2 ເມື່ອສືບຕໍ່ການເຊື່ອມຕໍ່ທີ່ຕັ້ງໄວ້ກ່ອນຫນ້ານີ້;
• ຄໍາສັ່ງໃຫມ່ໄດ້ຖືກເພີ່ມເຂົ້າໃນການຕັ້ງຄ່າ Keepalive ສໍາລັບການເຊື່ອມຕໍ່ຂາອອກ (ການເປີດຫຼືປິດທາງເລືອກ SO_KEEPALIVE ສໍາລັບຊັອກເກັດ):
  • «proxy_socket_keepalive" - configures "TCP keepalive" ພຶດຕິກໍາສໍາລັບການເຊື່ອມຕໍ່ຂາອອກກັບເຄື່ອງແມ່ຂ່າຍຂອງຕົວແທນ;
  • «fastcgi_socket_keepalive" - ຕັ້ງຄ່າພຶດຕິກໍາ "TCP keepalive" ສໍາລັບການເຊື່ອມຕໍ່ຂາອອກກັບເຄື່ອງແມ່ຂ່າຍ FastCGI;
  • «grpc_socket_keepalive" - ຕັ້ງຄ່າພຶດຕິກໍາ "TCP keepalive" ສໍາລັບການເຊື່ອມຕໍ່ຂາອອກກັບເຄື່ອງແມ່ຂ່າຍ gRPC;
  • «memcached_socket_keepalive" - ຕັ້ງຄ່າພຶດຕິກໍາ "TCP keepalive" ສໍາລັບການເຊື່ອມຕໍ່ຂາອອກກັບເຄື່ອງແມ່ຂ່າຍ memcached;
  • «scgi_socket_keepalive" - ຕັ້ງຄ່າພຶດຕິກໍາ "TCP keepalive" ສໍາລັບການເຊື່ອມຕໍ່ຂາອອກກັບເຄື່ອງແມ່ຂ່າຍ SCGI;
  • «uwsgi_socket_keepalive" - ຕັ້ງຄ່າພຶດຕິກໍາ "TCP keepalive" ສໍາລັບການເຊື່ອມຕໍ່ຂາອອກກັບເຄື່ອງແມ່ຂ່າຍ uwsgi.
• ໃນຄໍາສັ່ງ "limit_req" ເພີ່ມພາລາມິເຕີໃຫມ່ "ການຊັກຊ້າ", ເຊິ່ງກໍານົດຂອບເຂດຈໍາກັດຫຼັງຈາກນັ້ນການຮ້ອງຂໍທີ່ຊ້ໍາຊ້ອນແມ່ນຊັກຊ້າ;
• ຄໍາແນະນໍາໃຫມ່ "keepalive_timeout" ແລະ "keepalive_requests" ໄດ້ຖືກເພີ່ມເຂົ້າໃນບລັອກ "upstream" ເພື່ອກໍານົດຂອບເຂດຈໍາກັດສໍາລັບ Keepalive;
• ຄໍາສັ່ງ "ssl" ໄດ້ຖືກຍົກເລີກ, ແທນທີ່ດ້ວຍພາລາມິເຕີ "ssl" ໃນຄໍາສັ່ງ "ຟັງ". ໃບຢັ້ງຢືນ SSL ທີ່ຂາດຫາຍໄປໃນປັດຈຸບັນໄດ້ຖືກກວດພົບຢູ່ໃນຂັ້ນຕອນການທົດສອບການຕັ້ງຄ່າໃນເວລາທີ່ໃຊ້ຄໍາສັ່ງ "ຟັງ" ກັບພາລາມິເຕີ "ssl" ໃນການຕັ້ງຄ່າ;
• ເມື່ອໃຊ້ຄຳສັ່ງ reset_timedout_connection, ຕອນນີ້ການເຊື່ອມຕໍ່ຖືກປິດດ້ວຍລະຫັດ 444 ເມື່ອໝົດເວລາໝົດເວລາ;
• ຂໍ້ຜິດພາດ SSL "ຄໍາຮ້ອງຂໍ http", "ຄໍາຮ້ອງຂໍຕົວແທນ https", "ໂປໂຕຄອນທີ່ບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນ" ແລະ "ຮຸ່ນຕ່ໍາເກີນໄປ" ໄດ້ຖືກສະແດງຢູ່ໃນບັນທຶກທີ່ມີລະດັບ "ຂໍ້ມູນ" ແທນທີ່ຈະເປັນ "crit";
• ເພີ່ມການສະຫນັບສະຫນູນວິທີການສໍາຫຼວດໃນລະບົບ Windows ເມື່ອໃຊ້ Windows Vista ແລະຕໍ່ມາ;
• ຄວາມເປັນໄປໄດ້ຂອງການນໍາໃຊ້ TLSv1.3 ເມື່ອສ້າງຫ້ອງສະຫມຸດ BoringSSL, ບໍ່ພຽງແຕ່ OpenSSL ເທົ່ານັ້ນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru