ປ່ອຍ nginx 1.20.0

ຫຼັງຈາກຫນຶ່ງປີຂອງການພັດທະນາ, ສາຂາທີ່ຫມັ້ນຄົງໃຫມ່ຂອງເຄື່ອງແມ່ຂ່າຍ HTTP ທີ່ມີປະສິດທິພາບສູງແລະ multi-protocol proxy server nginx 1.20.0 ໄດ້ຖືກນໍາສະເຫນີ, ເຊິ່ງລວມເອົາການປ່ຽນແປງທີ່ສະສົມຢູ່ໃນສາຂາຕົ້ນຕໍ 1.19.x. ໃນອະນາຄົດ, ການປ່ຽນແປງທັງຫມົດໃນສາຂາທີ່ຫມັ້ນຄົງ 1.20 ຈະກ່ຽວຂ້ອງກັບການລົບລ້າງຄວາມຜິດພາດແລະຄວາມສ່ຽງທີ່ຮ້າຍແຮງ. ໃນໄວໆນີ້ສາຂາຕົ້ນຕໍຂອງ nginx 1.21 ຈະຖືກສ້າງຕັ້ງຂຶ້ນ, ເຊິ່ງການພັດທະນາຄຸນສົມບັດໃຫມ່ຈະສືບຕໍ່. ສໍາລັບຜູ້ໃຊ້ທົ່ວໄປທີ່ບໍ່ມີຫນ້າທີ່ຮັບປະກັນຄວາມເຂົ້າກັນໄດ້ກັບໂມດູນພາກສ່ວນທີສາມ, ແນະນໍາໃຫ້ໃຊ້ສາຂາຕົ້ນຕໍ, ບົນພື້ນຖານການອອກຜະລິດຕະພັນການຄ້າ Nginx Plus ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນທຸກໆສາມເດືອນ.

ອີງຕາມບົດລາຍງານເດືອນມີນາຈາກ Netcraft, nginx ຖືກນໍາໃຊ້ໃນ 20.15% ຂອງສະຖານທີ່ເຄື່ອນໄຫວທັງຫມົດ (ຫນຶ່ງປີກ່ອນຫນ້ານີ້ 19.56%, ສອງປີກ່ອນ 20.73%), ເຊິ່ງກົງກັບສະຖານທີ່ທີສອງຂອງຄວາມນິຍົມໃນປະເພດນີ້ (ສ່ວນແບ່ງຂອງ Apache ເທົ່າກັບ 25.38%. (ປີກ່ອນຫນ້ານີ້ 27.64%), Google - 10.09%, Cloudflare - 8.51%. 35.34%), ໃນຂະນະທີ່ສ່ວນແບ່ງຂອງ Apache ເທົ່າກັບ 36.91%, OpenResty (ເວທີໂດຍອີງໃສ່ nginx ແລະ LuaJIT.) - 27.52%, Microsoft IIS - 25.98%.

ໃນບັນດາລ້ານເວັບໄຊທ໌ທີ່ໄດ້ໄປຢ້ຽມຢາມຫຼາຍທີ່ສຸດໃນໂລກ, ສ່ວນແບ່ງຂອງ nginx ແມ່ນ 25.55% (ປີກ່ອນ 25.54%, ສອງປີກ່ອນ 26.22%). ໃນປັດຈຸບັນ, ປະມານ 419 ລ້ານເວັບໄຊທ໌ກໍາລັງແລ່ນ Nginx (459 ລ້ານຕໍ່ປີກ່ອນ). ອີງຕາມ W3Techs, nginx ຖືກນໍາໃຊ້ໃນ 33.7% ຂອງເວັບໄຊທ໌ອອກຈາກລ້ານທີ່ໄປຢ້ຽມຢາມຫຼາຍທີ່ສຸດ, ໃນເດືອນເມສາປີທີ່ຜ່ານມາຕົວເລກນີ້ແມ່ນ 31.9%, ໃນປີກ່ອນ - 41.8% (ການຫຼຸດລົງແມ່ນອະທິບາຍໂດຍການຫັນໄປຫາບັນຊີແຍກຕ່າງຫາກຂອງ Cloudflare http. ເຊີບເວີ). ສ່ວນແບ່ງຂອງ Apache ຫຼຸດລົງໃນໄລຍະປີຈາກ 39.5% ເປັນ 34%, ແລະສ່ວນແບ່ງຂອງ Microsoft IIS ຈາກ 8.3% ເປັນ 7%. ສ່ວນແບ່ງຂອງ LiteSpeed ​​ເພີ່ມຂຶ້ນຈາກ 6.3% ເປັນ 8.4%, ແລະ Node.js ຈາກ 0.8% ເປັນ 1.2%. ໃນລັດເຊຍ, nginx ຖືກນໍາໃຊ້ໃນ 79.1% ຂອງເວັບໄຊທ໌ທີ່ໄດ້ໄປຢ້ຽມຢາມຫຼາຍທີ່ສຸດ (ປີກ່ອນຫນ້ານີ້ - 78.9%).

ການປັບປຸງທີ່ໂດດເດັ່ນທີ່ສຸດທີ່ເພີ່ມໃນລະຫວ່າງການພັດທະນາສາຂາ 1.19.x ເທິງນ້ໍາ:

• ເພີ່ມຄວາມສາມາດໃນການກວດສອບໃບຢັ້ງຢືນລູກຄ້າໂດຍໃຊ້ບໍລິການພາຍນອກໂດຍອີງໃສ່ OCSP (Online Certificate Status Protocol) protocol. ເພື່ອເປີດໃຊ້ການກວດສອບ, ຄໍາແນະນໍາ ssl_ocsp ໄດ້ຖືກສະເຫນີ, ເພື່ອກໍານົດຂະຫນາດແຄດ - ssl_ocsp_cache, ເພື່ອກໍານົດ URL ຂອງຕົວຈັດການ OCSP ທີ່ລະບຸໄວ້ໃນໃບຢັ້ງຢືນ - ssl_ocsp_responder .
• ໂມດູນ ngx_stream_set_module ຖືກລວມເຂົ້າ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກໍາຫນົດຄ່າໃຫ້ກັບເຄື່ອງແມ່ຂ່າຍທີ່ປ່ຽນແປງໄດ້ { listen 12345; ຕັ້ງ $true 1; }
• ເພີ່ມຄໍາສັ່ງ proxy_cookie_flags ເພື່ອລະບຸທຸງສໍາລັບ Cookies ໃນການເຊື່ອມຕໍ່ proxied. ຕົວຢ່າງ, ເພື່ອເພີ່ມທຸງ “httponly” ໃສ່ Cookie “one”, ແລະ “nosecure” ແລະ “samesite=strict” flags for all other Cookies, you can use the following construction: proxy_cookie_flags one httponly; proxy_cookie_flags ~ nosecure samesite=ເຄັ່ງຄັດ;

  ຄໍາສັ່ງ userid_flags ທີ່ຄ້າຍຄືກັນສໍາລັບການເພີ່ມທຸງໃສ່ Cookies ຍັງຖືກປະຕິບັດສໍາລັບໂມດູນ ngx_http_userid.

• ເພີ່ມຄໍາສັ່ງ “ssl_conf_command”, “proxy_ssl_conf_command”, “grpc_ssl_conf_command” ແລະ “uwsgi_ssl_conf_command”, ເຊິ່ງທ່ານສາມາດກໍານົດພາລາມິເຕີທີ່ກໍານົດເອງສໍາລັບການຕັ້ງຄ່າ OpenSSL. ຕົວຢ່າງ, ເພື່ອຈັດລໍາດັບຄວາມສໍາຄັນຂອງລະຫັດລັບ ChaCha ແລະການຕັ້ງຄ່າຂັ້ນສູງຂອງລະຫັດລັບ TLSv1.3, ທ່ານສາມາດກໍານົດ ssl_conf_command Options PrioritizeChaCha; ssl_conf_command Ciphersuites TLS_CHACHA20_POLY1305_SHA256;
• ເພີ່ມ "ssl_reject_handshake" ຄໍາສັ່ງ, ເຊິ່ງແນະນໍາການປະຕິເສດຄວາມພະຍາຍາມທັງຫມົດໃນການເຈລະຈາການເຊື່ອມຕໍ່ SSL (ຕົວຢ່າງ, ສາມາດນໍາໃຊ້ເພື່ອປະຕິເສດການໂທທັງຫມົດທີ່ມີ hostnames ທີ່ບໍ່ຮູ້ຈັກໃນພາກສະຫນາມ SNI). server { ຟັງ 443 ssl; ssl_reject_handshake ສຸດ; } server { ຟັງ 443 ssl; server_name example.com; ssl_certificate example.com.crt; ssl_certificate_key example.com.key; }
• ຄໍາສັ່ງ proxy_smtp_auth ໄດ້ຖືກເພີ່ມເຂົ້າໃນ mail proxy, ຊ່ວຍໃຫ້ທ່ານສາມາດພິສູດຢືນຢັນຜູ້ໃຊ້ໃນ backend ໂດຍໃຊ້ຄໍາສັ່ງ AUTH ແລະກົນໄກ PLAIN SASL.
• ເພີ່ມຄໍາສັ່ງ "keepalive_time", ເຊິ່ງຈໍາກັດໄລຍະເວລາທັງຫມົດຂອງການເຊື່ອມຕໍ່ຮັກສາຊີວິດແຕ່ລະຄົນ, ຫຼັງຈາກນັ້ນການເຊື່ອມຕໍ່ຈະຖືກປິດ (ບໍ່ຄວນສັບສົນກັບ keepalive_timeout, ເຊິ່ງກໍານົດເວລາທີ່ບໍ່ມີການເຄື່ອນໄຫວຫຼັງຈາກນັ້ນການເຊື່ອມຕໍ່ຮັກສາຊີວິດຖືກປິດ).
• ເພີ່ມຕົວແປ $connection_time, ໂດຍຜ່ານທີ່ທ່ານສາມາດໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບໄລຍະເວລາການເຊື່ອມຕໍ່ເປັນວິນາທີທີ່ມີຄວາມແມ່ນຍໍາ millisecond.
• ພາລາມິເຕີ "min_free" ໄດ້ຖືກເພີ່ມໃສ່ "proxy_cache_path", "fastcgi_cache_path", "scgi_cache_path" ແລະ "uwsgi_cache_path", ເຊິ່ງຄວບຄຸມຂະຫນາດແຄດໂດຍອີງໃສ່ການກໍານົດຂະຫນາດຕໍາ່ສຸດທີ່ຂອງພື້ນທີ່ດິດຟຣີ.
• ຄໍາສັ່ງ "lingering_close", "lingering_time" ແລະ "lingering_timeout" ໄດ້ຖືກດັດແປງໃຫ້ເຮັດວຽກກັບ HTTP/2.
• ລະຫັດປະມວນຜົນການເຊື່ອມຕໍ່ໃນ HTTP/2 ແມ່ນໃກ້ກັບການປະຕິບັດ HTTP/1.x. ການສະຫນັບສະຫນູນສໍາລັບການຕັ້ງຄ່າສ່ວນບຸກຄົນ "http2_recv_timeout", "http2_idle_timeout" ແລະ "http2_max_requests" ໄດ້ຖືກຢຸດເຊົາໃນເງື່ອນໄຂຂອງຄໍາສັ່ງທົ່ວໄປ "keepalive_timeout" ແລະ "keepalive_requests". ການຕັ້ງຄ່າ "http2_max_field_size" ແລະ "http2_max_header_size" ໄດ້ຖືກໂຍກຍ້າຍອອກ ແລະ "large_client_header_buffers" ຄວນຖືກໃຊ້ແທນ.
• ເພີ່ມຕົວເລືອກເສັ້ນຄໍາສັ່ງໃຫມ່ "-e", ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກໍານົດໄຟລ໌ທາງເລືອກສໍາລັບການຂຽນບັນທຶກຄວາມຜິດພາດ, ເຊິ່ງຈະຖືກໃຊ້ແທນບັນທຶກທີ່ລະບຸໄວ້ໃນການຕັ້ງຄ່າ. ແທນທີ່ຈະເປັນຊື່ໄຟລ໌, ທ່ານສາມາດກໍານົດ stderr ມູນຄ່າພິເສດ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru