Izlaists nginx 1.16.0

Pēc gada izstrādes tika ieviests jauna stabila augstas veiktspējas HTTP servera un daudzprotokola starpniekservera versija nginx 1.16.0, kas iekļauj galvenās versijas 1.15.x uzkrātās izmaiņas. Turpmākās izmaiņas stabilajā versijā 1.16 tiks saistītas ar nopietnu kļūdu un ievainojamību novēršanu. Drīz tiks izveidota galvenā versija nginx 1.17, kurā tiks turpināta jaunu iespēju attīstība. Parastiem lietotājiem, kam nav nepieciešams nodrošināt saderību ar trešo pušu moduļiem, ieteicams jāizmanto galvenā versija, uz kuras pamata reizi trīs mēnešos tiek veidoti komerciālā produkta Nginx Plus laidieni.

Visredzamākie uzlabojumi, kas pievienoti, veidojot galveno versiju 1.15.x:

• Ievērojama iespēja izmantot mainīgās direktīvās ‘ssl_certificate‘ un ‘ssl_certificate_key‘, ko var izmantot dinamiski iekļaujot sertifikātus;
• Ievērojama iespēja iekļaut SSL sertifikātus un slepenos atslēgas no mainīgajiem bez starpposma failiem;
• Blokā „upstream„ ieviesta jauna direktīva „random“, ar kuru var organizēt slodzes līdzsvarošanu, izvēloties serveri nejauši savienojuma izveidei;
• Modulī ngx_stream_ssl_preread ieviesta mainīgā $ssl_preread_protocol,
  kas nosaka augstāko SSL/TLS protokola versiju, kuru atbalsta klients. Mainīgā ļauj izveidot konfigurācijas piekļuvei, izmantojot dažādus protokolus ar SSL un bez SSL caur vienu tīkla portu, izmantojot http un stream moduļus. Piemēram, lai nodrošinātu piekļuvi pa SSH un HTTPS caur vienu portu 443, noklusējuma ports var tikt novirzīts uz SSH, taču, ja ir definēta SSL versija, novirzīt uz HTTPS.
• Upstream modulī pievienota jauna mainīgā „$upstream_bytes_sent“, kas norāda bajtu skaitu, kas nosūtīti grupas serverim;
• Modulī plūsma vienā sesijā pievienota iespēja apstrādāt vairākas ienākošās UDP datagrammas no klienta;
• Stream modulī pievienota direktīva „proxy_requests“, kas nosaka datagrammu skaitu, ko saņem klients, sasniedzot kuru tiek noņemta saikne starp klientu un esošo UDP sesiju. Pēc norādītā datagrammu skaita saņemšanas nākamā datagramma, ko saņem no tā paša klienta, sāk jaunu sesiju;
• Direktīvā listen ir pievienota iespēja norādīt portu diapazonus;
• Pievienota direktīva «ssl_early_data» 0-RTT režīma aktivizēšanai 0-RTT izmantojot TLSv1.3, kas ļauj saglabāt iepriekš saskaņotos TLS savienojuma parametrus un samazināt RTT līdz 2, atsākot iepriekšējo savienojumu;
• Lai konfigurētu keepalive izejošajiem savienojumiem (ieslēdzot vai izslēdzot opciju SO_KEEPALIVE soketiem) pievienotas jaunas direktīvas:
  • «proxy_socket_keepalive» konfigurē «TCP keepalive» uzvedību izejošajiem savienojumiem uz proksē serveri;
  • «fastcgi_socket_keepalive» konfigurē «TCP keepalive» uzvedību izejošajiem savienojumiem uz FastCGI serveri;
  • «grpc_socket_keepalive» konfigurē «TCP keepalive» uzvedību izejošajiem savienojumiem uz gRPC serveri;
  • «memcached_socket_keepalive» konfigurē «TCP keepalive» uzvedību izejošajiem savienojumiem uz memcached serveri;
  • «scgi_socket_keepalive» konfigurē «TCP keepalive» uzvedību izejošajiem savienojumiem uz SCGI serveri;
  • «uwsgi_socket_keepalive» konfigurē «TCP keepalive» uzvedību izejošajiem savienojumiem uz uwsgi serveri.
• Direktīvā «limit_req pievienots jauns parametrs «delay», kas nosaka limitu, pēc kura liekie pieprasījumi tiek aizkavēti;
• Blokā «upstream» pievienotas jaunas direktīvas «keepalive_timeout» un «keepalive_requests» limitu noteikšanai Keepalive;
• Direktīva «ssl» ir noliegta, un tagad to aizvieto parametra «ssl» pievienošana direktīvā «listen». Tagad trūkstošie SSL sertifikāti tiek identificēti konfigurācijas testēšanas posmā, izmantojot direktīvas «listen» iestatījumus ar parametru «ssl»;
• Izmantojot direktīvu reset_timedout_connection, savienojumi tiek aizvērti ar kodu 444, kad ir beidzies laika limits;
• SSL kļūdas «http request», «https proxy request», «unsupported protocol» un «version too low» tagad tiek reģistrētas žurnālā ar līmeni «info» vietā «crit»;
• Pievienota poll metodes atbalsts Windows sistēmām, izmantojot Windows Vista un jaunākas versijas;
• Iespēja izmantot TLSv1.3 izmantots ar BoringSSL bibliotēku, ne tikai ar OpenSSL.

Avots: opennet.lv