Вышла новая ветка nginx 1.20.0
Её разрабатывали год, и теперь она вышла. Встречайте новую ветку nginx 1.20.0, которая вобрала все изменения из 1.19.Х-серии. Если вам не нужна совместимость со сторонними модулями, разработчики советуют пользоваться основной веткой.
Немного цифр
29 марта компания Netcraft опубликовала отчёт, согласно с которым nginx используют 20,15% активных сайтов (второе место, первое — у Apache с 25,38%). Но среди всех сайтов у nginx первое место с 35,34%, когда у Apache 25,98%. А всего чуть больше четверти из миллиона самых посещаемых сайтов работают на nginx (25,55%)
Что добавили из 1.19.Х?
- Теперь можно проверять клиентские сертификаты с привлечением внешних служб на базе протокола OCSP. Чтобы включить проверку, разработчики предложили директиву ssl_ocsp; чтобы настроить размера кэша — ssl_ocsp_cache, переопределить URL указанного в сертификате OCSP-обработчика — ssl_ocsp_responder.
- Добавили модуль ngx_stream_set_module. Он даёт присвоить значение переменной
server {
listen 12345;
set $true 1;
}
- Добавили директиву proxy_cookie_flags для указания флагов для куки в проксируемых соединениях. Если вы хотите добавить к куки “one” флаг “httponly”, а для всех остальных куки флаги “nosecure” и “samesite=strict”, попробуйте вот так:
proxy_cookie_flags one httponly;
proxy_cookie_flags ~ nosecure samesite=strict;
- Директиву userid_flags для добавления флагов к куки сделали для модуля ngx_http_userid.
- Добавили директивы “ssl_conf_command“, “proxy_ssl_conf_command“, “grpc_ssl_conf_command” и “uwsgi_ssl_conf_command”. Они дают задать произвольные параметры для настройки OpenSSL. Например, для приоритизации шифров ChaCha и расширенной настройки шифров TLSv1.3 можно указать
ssl_conf_command Options PrioritizeChaCha;
ssl_conf_command Ciphersuites TLS_CHACHA20_POLY1305_SHA256;
- Добавили директиву “ssl_reject_handshake“. Она запрещает согласовывать SSL-соединения. Например, её можно использовать для отклонения всех обращений с неизвестными именами хостов в поле SNI:
server {
listen 443 ssl;
ssl_reject_handshake on;
}
server {
listen 443 ssl;
server_name example.com;
ssl_certificate example.com.crt;
ssl_certificate_key example.com.key;
}
- В почтовый прокси добавили директиву proxy_smtp_auth. С ней можно аутентифицировать пользователя на бэкенде через команды AUTH и механизм PLAIN SASL.
- Добавили директиву “keepalive_time“, которая ограничивает общее время жизни каждого keep-alive соединения, после истечении которого соединение будет закрыто (не путать с keepalive_timeout, определяющем время неактивности, после которого keep-alive соединение закрывается).
- Добавили переменную $connection_time, через которую можно получить информацию о продолжительности соединения в секундах с миллисекундной точностью.
- В директивы “proxy_cache_path“, “fastcgi_cache_path”, “scgi_cache_path” и “uwsgi_cache_path” добавили параметр “min_free”. Он регулирует размер кэша на основе определения минимального размера свободного дискового пространства.
- Директивы “lingering_close“, “lingering_time” и “lingering_timeout” адаптировали для работы с HTTP/2.
- Код обработки соединений в HTTP/2 приблизили к реализации HTTP/1.x. Поддержку отдельных настроек “http2_recv_timeout”, “http2_idle_timeout” и “http2_max_requests” прекратили в пользу общих директив “keepalive_timeout” и “keepalive_requests”. Удалили настройки “http2_max_field_size” и “http2_max_header_size”, вместо которых нужно использовать “large_client_header_buffers”.
- Добавили новую опцию командной строки “-e”. Она даёт указать альтернативный файл для записи лога ошибок, который будет использоваться вместо заданного в настройках лога. Вместо имени файла можно указать специальное значение stderr.
Спасибо за информацию opennet.ru
Узнать дополнительную информацию про учебные материалы в IT EDUCATION CENTER.