Release av nginx 1.16.0

Efter ett års utveckling presenterades den nya stabila grenen av den högpresterande HTTP-servern och den multiprotokollproxy-servern nginx 1.16.0, som samlade förändringar från huvudgren 1.15.x. I framtiden kommer alla ändringar i den stabila grenen 1.16 att relateras till att åtgärda allvarliga fel och sårbarheter. Snart kommer huvudgrenen nginx 1.17 att bildas, där utvecklingen av nya funktioner kommer att fortsätta. För vanliga användare som inte har behov av att säkerställa kompatibiliteten med tredjepartsmjukvara, rekommenderas bör använda den huvudsakliga grenen, på vilken kommersiella produkter Nginx Plus publiceras var tredje månad.

De mest märkbara förbättringarna som lagts till under bildandet av huvudgrenen 1.15.x:

• Möjligheten att använda variabler i direktiven ‘ssl_certificate‘ och ‘ssl_certificate_key‘, vilket kan användas för dynamisk laddning av certifikat;
• Möjligheten att ladda SSL-certifikat och hemliga nycklar från variabler utan att använda mellanliggande filer;
• I blocket «upstream» har en ny direktiv «random« implementerats, som gör det möjligt att organisera lastbalansering med slumpmässigt urval av server för att vidarebefordra anslutningen;
• I modulen ngx_stream_ssl_preread en variabel har implementerats $ssl_preread_protocol,
  som definierar den högsta versionen av SSL/TLS-protokollet som klienten stöder. Variabeln gör det möjligt att skapa konfigurationer för åtkomst med olika protokoll både med SSL och utan SSL via en nätverksport när trafik proxas med hjälp av http- och stream-moduler. Till exempel, för att ordna åtkomst via SSH och HTTPS genom en port. Standardport 443 kan vidarebefordras till SSH, men om en SSL-version anges kan den vidarebefordras till HTTPS.
• I upstream-modulen har en ny variabel «$upstream_bytes_sent« lagts till, som visar antalet byte som har skickats till servers grupp;
• I modulen stream inom en session har möjligheten att bearbeta flera inkommande UDP-datagram från klienten lagts till;
• I stream-modulen har en direktiv «proxy_requests« lagts till, som anger antalet datagram som tagits emot från klienten, vid vilket bindningen mellan klienten och den befintliga UDP-sessionen tas bort. Efter att det angivna antalet datagram har mottagits, börjar nästa datagram som tas emot från samma klient en ny session;
• I direktivet listen har det lagts till möjlighet att ange portintervall;
• En direktiv "ssl_early_data» för att aktivera läget 0-RTT Vid användning av TLSv1.3, som tillåter att tidigare överenskomna parametrar för TLS-anslutning bevaras och minskar antalet RTT till 2 vid återupptagning av en tidigare etablerad anslutning;
• För att konfigurera keepalive för utgående anslutningar (att aktivera eller inaktivera alternativet SO_KEEPALIVE för sockets) har nya direktiv lagts till:
  • «proxy_socket_keepalive» – konfigurerar beteendet för 'TCP keepalive' för utgående anslutningar till den proxyserven;
  • «fastcgi_socket_keepalive» – konfigurerar beteendet för 'TCP keepalive' för utgående anslutningar till FastCGI-servern;
  • «grpc_socket_keepalive» – konfigurerar beteendet för 'TCP keepalive' för utgående anslutningar till gRPC-servern;
  • «memcached_socket_keepalive» – konfigurerar beteendet för 'TCP keepalive' för utgående anslutningar till memcached-servern;
  • «scgi_socket_keepalive» – konfigurerar beteendet för 'TCP keepalive' för utgående anslutningar till SCGI-servern;
  • «uwsgi_socket_keepalive» – konfigurerar beteendet för 'TCP keepalive' för utgående anslutningar till uwsgi-servern.
• I direktivet 'limit_req' har en ny parameter 'delay' lagts till, som sätter en gräns, vid vilken överskjutande begärningar fördröjs;
• Nya direktiv 'keepalive_timeout' och 'keepalive_requests' har lagts till i blocket 'upstream' för att ange gränser för Keepalive;
• Direktivet 'ssl' har förklarats föråldrat, och ersatts av parametern 'ssl' i direktivet 'listen'. Identifiering av saknade SSL-certifikat utförs nu under testningssteget av konfigurationen när 'listen'-inställningar med parametern 'ssl' används;
• Vid användning av direktivet reset_timedout_connection stängs nu anslutningar som har överskridit tidsgränsen med kod 444;
• SSL-fel 'http request', 'https proxy request', 'unsupported protocol' och 'version too low' visas nu i loggen med nivån 'info' istället för 'crit';
• Stöd för metoden poll har lagts till på Windows-system vid användning av Windows Vista och nyare;
• Möjlighet har säkerställts att använda TLSv1.3 vid kompilering med BoringSSL-biblioteket, och inte bara med OpenSSL.

Källa: opennet.ru