Utsläpp av nginx 1.29.4 med stöd för ECH och interaktion med backend genom HTTP/2.0

Den nya versionen av huvudgrenen nginx 1.29.4 har publicerats, där nya möjligheter fortsätter att utvecklas. I den parallellt stödda stabila grenen 1.28.x görs endast ändringar relaterade till åtgärder av allvarliga buggar och sårbarheter. Framöver kommer stabila grenen 1.30 att baseras på huvudgrenen 1.29.x. Projektkoden är skriven i C och distribueras under BSD-licens.

I den nya utgåvan:

• Modulen ngx_http_proxy har fått stöd för protokollet HTTP/2, vilket möjliggör användning av HTTP/2 vid anrop till backend.
• Stöd för TLS-tillägget ECH (Encrypted ClientHello) har lagts till, vilket fortsätter utvecklingen av tillägget ESNI (Encrypted Server Name Indication) och används för att kryptera information om TLS-sessionernas parametrar, såsom det begärda domännamnet. Den viktigaste skillnaden mellan ECH och ESNI är att i ECH krypteras hela TLS-meddelandet ClientHello istället för specifika fält, vilket förhindrar läckage via fält som inte omfattas av ESNI, till exempel PSK-fältet (Pre-Shared Key). Användning av ECH aktiveras genom att ange ECHConfig-filen i PEM-format i direktivet «ssl_ech_file». Stödet är tillgängligt för OpenSSL-versioner med ECH.
• Reglerna för kontroll av värd och port i begäran, i rubriken "Host" och pseudorubriken ":authority" har anpassats till kraven i RFC 3986.
• Angivandet av ett enda radbrytningstecken som slutsekvens i chunked-begärningar eller i svarksinnehållet hanteras nu som ett fel.
• Krasch som uppstod vid användning av HTTP/3 med OpenSSL 3.5.1+ har åtgärdats.
• Krasch i arbetsprocessen har åtgärdats vid samtidig användning av direktiven try_files och proxy_pass med URI.

Källa: opennet.ru