大家好！分享即關懷，我們很樂意與你分享其他的一些知識。我們準備了一個 Nginx 指南，分為三個系列。如果你已經知道一些 Nginx 知識或者想擴充套件你的經驗和認知，這個再合適不過了。
我們將告訴你 Nginx 的運作模式、蘊含的概念，怎樣通過調優 Nginx 來提高應用效能，或是如何設定它的啟動和執行。
這個教程有三個部分：
- 基本概念 —— 這部分需要去了解 Nginx 的一些指令和使用場景，繼承模型，以及 Nginx 如何選擇 server 塊，location 的順序。
- 效能 —— 介紹改善 Nginx 速度的方法和技巧，我們會在這裡談及 gzip 壓縮，快取，buffer 和超時。
- SSL 安裝 —— 如何配置伺服器使用 HTTPS
建立這個系列，我們希望，一是作為參考書，可以通過快速查詢到相關問題（比如 gzip 壓縮，SSL 等）的解決方式，也可以直接通讀全文。為了獲得更好的學習效果，我們建議你在本機安裝 Nginx 並且嘗試進行實踐。
SSL 和 TLS
SSL（Socket Secure Layer 縮寫）是一種通過 HTTP 提供安全連線的協議。
SSL 1.0 由 Netscape 開發，但由於嚴重的安全漏洞從未公開發布過。SSL 2.0 於 1995 年釋出，它存在一些問題，導致了最終的 SSL 3.0 在 1996 年釋出。
TLS（Transport Layer Security 縮寫）的第一個版本是作為 SSL 3.0 的升級版而編寫的。之後 TLS 1.1 和 1.2 出來了。現在，就在不久之後，TLS 1.3 即將推出（這確實值得期待），並且已經被一些瀏覽器所支援。
從技術上講，SSL 和 TLS 是不同的（因為每個協議都描述了協議的不同版本），但其中使用的許多名稱是可以互換的。
基本 SSL/TLS 配置
為了處理 HTTPS 流量，你需要具有 SSL/TLS 證照。你可以通過使用 Let’s encrypt 以生成免費的證照。
當你擁有證照之後，你可以通過以下的方式輕易切換至 HTTPS：
- 開始監聽埠 443（當你輸入 https://sample.co 時瀏覽器將使用的預設埠）
- 提供證照及其金鑰
|
1 2 3 4 5 6 7 |
server { listen 443 ssl default_server; listen [::]:443 ssl default_server; ssl_certificate /etc/nginx/ssl/netguru.crt; ssl_certificate_key /etc/nginx/ssl/netguru.key; } |
我們也想通過調整配置實現：
- 僅使用 TLS 協議。由於眾所周知的漏洞，所有的 SSL 版本都將不再使用
- 使用預定義的安全的伺服器密碼（類似於協議的情況 – 那些日子只有少數密碼被認為是安全的）
請牢記，上述設定總是在變化的。時不時重新更新是個好主意。
|
1 2 3 4 5 6 7 8 9 10 11 |
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:!MD5; ssl_prefer_server_ciphers on; server { listen 443 ssl default_server; listen [::]:443 ssl default_server; ssl_certificate /etc/nginx/ssl/netguru.crt; ssl_certificate_key /etc/nginx/ssl/netguru.key; } |
TLS 會話恢復
使用 HTTPS，在 TCP 之上需要增加 TLS 握手。這大大增加了此前實際資料傳輸的時間。假設你從華沙請求 /image.jpg，並接入到柏林最近的伺服器：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
Open connection TCP Handshake: Warsaw ->------------------ synchronize packet (SYN) ----------------->- Berlin Warsaw -<--------- synchronise-acknowledgement packet (SYN-ACK) ------<- Berlin Warsaw ->------------------- acknowledgement (ACK) ------------------->- Berlin TLS Handshake: Warsaw ->------------------------ Client Hello ---------------------->- Berlin Warsaw -<------------------ Server Hello + Certificate ---------------<- Berlin Warsaw ->---------------------- Change Ciper Spec -------------------->- Berlin Warsaw -<---------------------- Change Ciper Spec --------------------<- Berlin Data transfer: Warsaw ->---------------------- /image.jpg --------------------------->- Berlin Warsaw -<--------------------- (image data) --------------------------<- Berlin Close connection |
為了在 TLS 握手期間節省一個 roundtrip 時間，以及生成新金鑰的計算開銷，我們可以重用在第一個請求期間生成的會話引數。客戶端和伺服器可以將會話引數儲存在會話 ID 金鑰的後面。在接下來的 TLS 握手過程中，客戶端可以傳送會話 ID，如果伺服器在快取中仍然有正確的條目，那麼會重用前一個會話所生成的引數。
|
1 2 3 4 |
server { ssl_session_cache shared:SSL:10m; ssl_session_timeout 1h; } |
OCSP Stapling
SSL 證照可以隨時撤銷。瀏覽器為了知道給定的證照是否不再有效，需要通過線上證照狀態協議 (Online Certificate Status Protocol ，OCSP) 執行額外的查詢。無需使用者執行指定的 OCSP 查詢，我們可以在伺服器上執行此操作，快取其結果，並在 TLS 握手期間為客戶端提供 OCSP 響應。它被稱為OCSP stapling。
|
1 2 3 4 5 6 7 8 |
server { ssl_stapling on; ssl_stapling_verify on; # verify OCSP response ssl_trusted_certificate /etc/nginx/ssl/lemonfrog.pem; # tell nginx location of all intermediate certificates resolver 8.8.8.8 8.8.4.4 valid=86400s; # resolution of the OCSP responder hostname resolver_timeout 5s; } |
Security headers
有一些標頭確實值得調整以提供更高的安全性。有關更多關於標頭及其詳細資訊，你絕對應該檢視OWASP 專案之安全標頭。
HTTP Strict-Transport-Security
或簡稱 HSTS，強制使用者代理在向源傳送請求時使用 HTTPS。
|
1 |
add_header Strict-Transport-Security "max-age=31536000; includeSubdomains; preload"; |
X-Frame-Options
表示瀏覽器是否需要在一幀、一個 iframe 或一個物件標籤中渲染頁面。
|
1 |
add_header X-Frame-Options DENY; |
X-Content-Type-Options
此選項將阻止瀏覽器在判斷檔案型別時嗅探檔案。檔案將會按照 Content-Type 頭中宣告的格式轉譯。
|
1 |
add_header X-Content-Type-Options nosniff; |
Server tokens
另一個很好的做法是在 HTTP 響應頭欄位中隱藏有關 Web 伺服器的資訊：
|
1 |
Server : nginx/1.13.2 |
實現此功能可以通過禁用 server_tokens 指令：
|
1 |
server_tokens off; |
附錄 :: Let’s Encrypt
安裝
最新的安裝包可以在這裡找到。
生成新證照
|
1 2 3 |
certbot certonly --webroot --webroot-path /var/www/netguru/current/public/ \ -d foo.netguru.co \ -d bar.netguru.co |
確保能夠正確更新。
|
1 |
certbot renew --dry-run |
確保你在 crontab 新增了自動更新。執行 crontab -e，同時新增下邊一行程式碼
|
1 |
3 * * * /usr/bin/certbot renew --quiet --renew-hook "/usr/sbin/nginx -s reload" |
檢查 SSL 是否能夠通過 ssllabs 正常執行。
總結
感謝您的閱讀。如果沒有大量的資源，這個系列是不可能完成的。在這一系列的寫作中，我們發現了一些特別有用的網站：