Nginx：修订间差异

来自Gea-Suan Lin's Wiki
跳到导航 跳到搜索
此页面具有访问限制。如果您看见此消息，则说明您没有权限访问此页面。
第18行： 第18行：
 這跟其他網站上建議的有些差異：
 這跟其他網站上建議的有些差異：
; 直接關掉<code>TLSv1.1</code>：
; 直接關掉<code>TLSv1.1</code>：
: 因為就瀏覽器安全性來說 一定要 用<code>TLSv1.2</code>，就 瀏覽器支援度 來說則是 開<code>TLSv1.1</code>，目前沒有看到需要開<code>TLSv1.1</code>才會動情況，直接關掉反而可以避免nginx實做<code>TLSv1.1</code>有問題時的風險（因為用的人少，眼球會比較少，這個協定風險反而比另外兩個高）。
: 因為就瀏覽器安全性來說 ，應該使 用<code>TLSv1.2</code>，就 相容性 來說 ， 則是 使用<code>TLSv1.0</code>， 而 目前沒有看到需要開<code>TLSv1.1</code>才會動情況，直接關掉反而可以避免nginx實做<code>TLSv1.1</code>有問題時的風險（因為用的人少，眼球會比較少，這個協定風險反而比另外兩個高）。
; 調低SHA-1（<code>SHA</code>）優先權：
; 調低SHA-1（<code>SHA</code>）優先權：
: 因為目前還是有瀏覽器不支援較新的<code>SHA256</code>（配合<code>AES128</code>）或<code>SHA384</code>（配合<code>AES256</code>），所以還是得支援SHA-1，但優先權儘量排低。
: 因為目前還是有瀏覽器不支援較新的<code>SHA256</code>（配合<code>AES128</code>）或<code>SHA384</code>（配合<code>AES256</code>），所以還是得支援SHA-1，但優先權儘量排低。

2018年4月18日 (三) 04:07的版本

nginx是一套网页服务器，在效能与设定弹性上取得不错的平衡点。

安装

在Ubuntu上除了内建版本外（在16.04是1.10.3），也有PPA可以安装新版。

设定

SSL

在/etc/nginx/conf.d/ssl.conf内的设定如下： 

ssl_protocols TLSv1 TLSv1.2;
ssl_ciphers "ECDH+AESGCM+AES256:DH+AESGCM+AES256:ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES:DH+AES:ECDH+CAMELLIA:DH+CAMELLIA:!ADH:!AECDH:!DSS:!ECDSA:!MD5"
ssl_dhparam /etc/ssl/certs/dhparam.pem;
ssl_session_cache shared:SSL:30m;
ssl_session_timeout 30m;

这跟其他网站上建议的有些差异：

直接关掉TLSv1.1：
因为就浏览器安全性来说，应该使用TLSv1.2，就相容性来说，则是使用TLSv1.0，而目前没有看到需要开TLSv1.1才会动情况，直接关掉反而可以避免nginx实做TLSv1.1有问题时的风险（因为用的人少，眼球会比较少，这个协定风险反而比另外两个高）。
调低SHA-1（SHA）优先权：
因为目前还是有浏览器不支援较新的SHA256（配合AES128）或SHA384（配合AES256），所以还是得支援SHA-1，但优先权尽量排低。
试着支援非NIST架构的协定：
目前cipher都是NIST所选出的协定，所以还是多选了Camellia（CAMELLIA128）让使用者可以用。之后会规划将ChaCha20+Poly1305放入列表（还在观察，尤其是移动设备上对AES的硬件加速支援反而使得ChaCha20+Poly1305未必比较快）。

外部链接

取自“https://wiki.gslin.org/index.php?title=Nginx&oldid=483”