Uvoľnenie nginx 1.16.0

Po roku vývoja je predstavená nová stabilná vetva vysoce výkonného HTTP servera a mult protokolového proxy servera nginx 1.16.0, ktorá zahŕňa zmeny nahromadené v rámci hlavnej vetvy 1.15.x. V budúcnosti budú všetky zmeny v stabilnej vetve 1.16 zamerané na odstránenie závažných chýb a zraniteľností. Čoskoro bude vytvorená hlavná vetva nginx 1.17, v rámci ktorej bude pokračovať rozvoj nových funkcií. Pre bežných používateľov, ktorí nemajú úlohu zabezpečiť kompatibilitu s externými modulmi, odporúča sa používať hlavnú vetvu, na základe ktorej sa raz za tri mesiace vytvárajú vydania komerčného produktu Nginx Plus.

Najvýraznejšie vylepšenia pridané v procese vytvárania hlavnej vetvy 1.15.x:

• Pridaná možnosť používania premenných v direktívach ‘ssl_certificate‘ a ‘ssl_certificate_key‘, čo sa dá využiť na dynamické načítanie certifikátov;
• Pridaná možnosť načítania SSL certifikátov a tajných kľúčov z premenných bez použitia medzioborových súborov;
• V bloku „upstream“ bola realizovaná nová direktíva „random“, pomocou ktorej je možné organizovať vyvažovanie záťaže so náhodným výberom servera na presmerovanie pripojenia;
• V module ngx_stream_ssl_preread bola implementovaná premenná $ssl_preread_protocol,
  , ktorá určuje najvyššiu verziu protokolu SSL/TLS, ktorú klient podporuje. Premenná umožňuje vytvárať konfigurácie pre prístup s použitím rôznych protokolov so SSL a bez SSL cez jeden sieťový port pri proxy prenosu prevádzky s použitím modulov http a stream. Napríklad pre organizáciu prístupu cez SSH a HTTPS cez jeden port 443 môže byť port predvolene presmerovaný na SSH, ale ak je definovaná verzia SSL, presmeruje sa na HTTPS.
• Do modulu upstream bola pridaná nová premenná „$upstream_bytes_sent“, ktorá zobrazuje počet bajtov odoslaných na server skupiny;
• Do modulu stream bola v rámci jedného sedenia pridaná možnosť spracovania viacerých prichádzajúcich UDP datagramov od klienta;
• Do modulu stream bola pridaná direktíva „proxy_requests“, ktorá určuje počet datagramov prijatých od klienta, po dosiahnutí ktorého sa odstráni väzba medzi klientom a existujúcou UDP reláciou. Po prijatí uvedeného počtu datagramov sa ďalší datagram prijatý od toho istého klienta začína novou reláciou;
• V príkaze listen sa objavila možnosť nastaviť rozsahy portov;
• Bola pridaná direktíva „ssl_early_data“ na povolenie režimu 0-RTT pri používaní TLSv1.3, čo umožňuje uchovať predtým dohodnuté parametre TLS pripojenia a znížiť počet RTT na 2 pri obnovení skôr nadviazaného pripojenia;
• Na nastavenie keepalive pre odchádzajúce pripojenia (povolenie alebo zakázanie možnosti SO_KEEPALIVE pre sokety) boli pridané nové direktívy:
  • «proxy_socket_keepalive“ — konfiguruje správanie „TCP keepalive“ pre odchádzajúce pripojenia k proxy serveru;
  • «fastcgi_socket_keepalive“ — konfiguruje správanie „TCP keepalive“ pre odchádzajúce pripojenia k FastCGI serveru;
  • «grpc_socket_keepalive“ — konfiguruje správanie „TCP keepalive“ pre odchádzajúce pripojenia k gRPC serveru;
  • «memcached_socket_keepalive“ — konfiguruje správanie „TCP keepalive“ pre odchádzajúce pripojenia k serveru memcached;
  • «scgi_socket_keepalive“ — konfiguruje správanie „TCP keepalive“ pre odchádzajúce pripojenia k SCGI serveru;
  • «uwsgi_socket_keepalive“ — konfiguruje správanie „TCP keepalive“ pre odchádzajúce pripojenia k uwsgi serveru.
• Do direktívy „limit_req “ bol pridaný nový parameter „delay“, ktorý určuje limit, po dosiahnutí ktorého sú nadbytočné požiadavky oneskorené;
• Do bloku „upstream“ boli pridané nové direktívy „keepalive_timeout“ a „keepalive_requests“ na stanovenie limitov pre Keepalive;
• Direktíva „ssl“ bola vyhlásená za zastaranú, pričom ju nahradila parameter „ssl“ v direktíve „listen“. Definícia chýbajúcich certifikátov SSL sa teraz vykonáva počas testovania konfigurácie pri používaní nastavení direktívy „listen“ s parametrom „ssl“;
• Pri používaní direktívy reset_timedout_connection sa teraz pri uplynutí časového limitu pripojenia uzatvárajú s použitím kódu 444;
• SSL chyby „http request“, „https proxy request“, „unsupported protocol“ a „version too low“ sa teraz zaznamenávajú v logu s úrovňou „info“ namiesto „crit“;
• Pridaná podpora metódy poll na systémoch Windows pri použití Windows Vista a novší;
• Bol poskytnutý prístup k TLSv1.3 pri zostavení s knižnicou BoringSSL, nie len s OpenSSL.

Zdroj: opennet.ru