nginx 1.16.0 versiyasi

Bir yillik rivojlanishdan keyin taqdim etiladi yuqori samarali HTTP serverining yangi barqaror tarmog'i va ko'p protokolli proksi-server nginx 1.16.0, 1.15.x asosiy filiali ichida to'plangan o'zgarishlarni o'zlashtirgan. Kelajakda 1.16 barqaror filialidagi barcha o'zgarishlar jiddiy xatolar va zaifliklarni bartaraf etish bilan bog'liq bo'ladi. Tez orada nginx 1.17 ning asosiy tarmog'i shakllanadi, uning doirasida yangi xususiyatlarni ishlab chiqish davom etadi. Uchinchi tomon modullari bilan muvofiqlikni ta'minlash vazifasi bo'lmagan oddiy foydalanuvchilar uchun, tavsiya etiladi asosiy filialdan foydalaning, uning asosida Nginx Plus tijorat mahsulotining relizlari har uch oyda shakllanadi.

1.15.x yuqori oqim filialini ishlab chiqishda qo'shilgan eng muhim yaxshilanishlar:

• Ko'rsatmalarda o'zgaruvchilardan foydalanish imkoniyati qo'shildissl_certificate'va'ssl_certificate_key', bu sertifikatlarni dinamik ravishda yuklash uchun ishlatilishi mumkin;
• O'zgaruvchilardan SSL sertifikatlari va maxfiy kalitlarni oraliq fayllardan foydalanmasdan yuklash imkoniyati qo'shildi;
• Blokda "yuqori oqim» yangi direktiva amalga oshirildi «tasodifiy“, uning yordamida ulanishni yo'naltirish uchun serverni tasodifiy tanlash bilan yuk balansini tashkil qilishingiz mumkin;
• Modulda ngx_stream_ssl_preread o'zgaruvchi amalga oshirildi $ssl_preread_protocol,
  mijoz qo'llab-quvvatlaydigan SSL/TLS protokolining eng yuqori versiyasini belgilaydi. O'zgaruvchi ruxsat beradi konfiguratsiyalarni yaratish http va oqim modullari yordamida trafikni proksi-server qilishda bitta tarmoq porti orqali SSL bilan va bo'lmasdan turli xil protokollar yordamida kirish uchun. Masalan, bitta port orqali SSH va HTTPS orqali kirishni tashkil qilish uchun 443-port sukut bo'yicha SSH-ga yo'naltirilishi mumkin, ammo SSL versiyasi aniqlangan bo'lsa, HTTPS-ga yo'naltiriladi.

• Yuqori oqim moduliga yangi o'zgaruvchi qo'shildi "$upstream_bytes_yuborildi", bu guruh serveriga uzatilgan baytlar sonini ko'rsatadi;
• Modulga oqim bir seans ichida mijozdan bir nechta kiruvchi UDP datagrammalarini qayta ishlash imkoniyati qo'shildi;
• direktiva"proxy_so'rovlar", mijozdan olingan datagramlar sonini bildiradi, unga erishilganda mijoz va mavjud UDP sessiyasi o'rtasidagi bog'lanish olib tashlanadi. Belgilangan miqdordagi datagrammalarni olgandan so'ng, xuddi shu mijozdan olingan keyingi datagramma yangi seansni boshlaydi;
• Tinglash direktivasi endi port diapazonlarini belgilash imkoniyatiga ega;
• Qo'shilgan direktiv "ssl_early_data» rejimini yoqish uchun 0-RTT TLSv1.3 dan foydalanganda, bu sizga oldindan kelishilgan TLS ulanish parametrlarini saqlash va ilgari o'rnatilgan ulanishni qayta tiklashda RTT sonini 2 tagacha kamaytirish imkonini beradi;
• Chiquvchi ulanishlar uchun keepalive-ni sozlash uchun yangi direktivalar qo'shildi (rozetkalar uchun SO_KEEPALIVE variantini yoqish yoki o'chirish):
  • «proxy_socket_keepalive" - proksi-serverga chiquvchi ulanishlar uchun "TCP keepalive" harakatini sozlaydi;
  • «fastcgi_socket_keepalive" - FastCGI serveriga chiquvchi ulanishlar uchun "TCP keepalive" harakatini sozlaydi;
  • «grpc_socket_keepalive" - gRPC serveriga chiquvchi ulanishlar uchun "TCP keepalive" harakatini sozlaydi;
  • «memcached_socket_keepalive" - memkeshlangan serverga chiquvchi ulanishlar uchun "TCP keepalive" harakatini sozlaydi;
  • «scgi_socket_keepalive" - SCGI serveriga chiquvchi ulanishlar uchun "TCP keepalive" harakatini sozlaydi;
  • «uwsgi_socket_keepalive" - uwsgi serveriga chiquvchi ulanishlar uchun "TCP keepalive" harakatini sozlaydi.
• direktivada "limit_talab" "kechikish" yangi parametri qo'shildi, bu ortiqcha so'rovlar kechiktirilgandan keyin chegarani belgilaydi;
• Keepalive uchun cheklovlarni o'rnatish uchun "yuqori oqim" blokiga yangi "keepalive_timeout" va "keepalive_requests" direktivalari qo'shildi;
• "Ssl" direktivasi bekor qilindi, "tinglash" direktivasidagi "ssl" parametri bilan almashtirildi. Yo'qolgan SSL sertifikatlari endi sozlamalardagi "ssl" parametri bilan "tinglash" direktivasidan foydalanganda konfiguratsiya sinov bosqichida aniqlanadi;
• reset_timedout_connection direktivasidan foydalanilganda, ulanishlar endi vaqt tugashi bilan 444 kod bilan yopiladi;
• "http so'rovi", "https proksi-server so'rovi", "qo'llab-quvvatlanmaydigan protokol" va "versiya juda past" SSL xatolar endi jurnalda "crit" o'rniga "info" darajasida ko'rsatiladi;
• Windows Vista va undan keyingi versiyalarda Windows tizimlarida so'rov usulini qo'llab-quvvatlash qo'shildi;
• Foydalanish imkoniyati TLSv1.3 faqat OpenSSL emas, balki BoringSSL kutubxonasi bilan qurishda.

Manba: opennet.ru