Вышел релиз nginx 1.20.0
С момента выхода прошлой версии nginx прошел целый год. Сейчас представлена новая стабильная ветка nginx 1.20.0. По словам разработчиков, в нее вошли все изменения, которые ранее были накоплены в ветке 1.19.x. В новой ветке изменения будут связаны с ликвидацией серьезных ошибок и уязвимостей.
В ближайшее время разработчики сформируют основную ветку 1.21, которая будет получать новые возможности. Тем пользователям, кому не нужна совместимость со сторонними модулями, рекомендуется использовать основную ветку. На ее основе раз в квартал формируются выпуски коммерческого продукта Nginx Plus.
Немного статистики
Согласно данным компании Netcraft, nginx используется на 20,15% всех активных сайтов. Год назад этот показатель составлял 19,56%, два года назад — 20,73%. Nginx находится на втором месте после Apache, доля которого составляет 25,38% (год назад — 27,64%). На третьем месте находится Google с 10,09%, а на четвертом — Cloudflare (8,51%).
Если учитывать все сайты, то nginx является лидером с 35,34% рынка. У Apache — 25,98%, у OpenResty (платформа на базе nginx и LuaJIT.) — 6.55%, Microsoft IIS — 5.96%.
Если же оценивать использование nginx самыми посещаемыми сайтами в мире, то доля nginx составляет 25,55% (год назад — 25,54%, два года назад — 26,22%). Количество сайтов, которые работают под управлением nginx, составляет 419 млн. В России nginx используется на 79,1% самых посещаемых сайтов (год назад — 78,9%).
Ну, а теперь — об изменениях
Новый релиз получил сразу несколько заметных улучшений:
- Возможность проверки клиентских сертификатов с привлечением внешних служб на базе протокола OCSP (Online Certificate Status Protocol). Для включения проверки предложена директива «ssl_ocsp», для настройки размера кэша — «ssl_ocsp_cache», для переопределения URL OCSP-обработчика, указанного в сертификате, — «ssl_ocsp_responder».
- В состав новой версии вошел
- модуль «ngx_stream_set_module», позволяющий присвоить значение переменной:
server {
listen 12345;
set $true 1;
}
- Разработчики добавили директиву «proxy_cookie_flags» для указания флагов для Cookie в проксируемых соединениях.
- Добавлены и директивы «ssl_conf_command», «proxy_ssl_conf_command», «grpc_ssl_conf_command» и «uwsgi_ssl_conf_command», при помощи которых можно задать произвольные параметры для настройки OpenSSL. Так, при необходимости приоритизировать шифры ChaCha и выполнить расширенную настройку шифров TLSv1.3 можно указать:
ssl_conf_command Options PrioritizeChaCha;
ssl_conf_command Ciphersuites TLS_CHACHA20_POLY1305_SHA256;
Еще одно важное обновление — добавление директивы
- «ssl_reject_handshake», которая предписывает отвергать все попытки согласования SSL-соединений (например, можно использовать для отклонения всех обращений с неизвестными именами хостов в поле SNI).
server {
listen 443 ssl;
ssl_reject_handshake on;
}
server {
listen 443 ssl;
server_name example.com;
ssl_certificate example.com.crt;
ssl_certificate_key example.com.key;
}
- В почтовый прокси вошла директива «proxy_smtp_auth», которая дает возможность аутентифицировать пользователя на бэкенде при помощи команды AUTH и механизма PLAIN SASL.
- Добавлена директива «keepalive_time». Ее задача — ограничение общего времени жизни каждого keep-alive соединения, по истечении которого соединение будет закрыто (не путать с директивой «keepalive_timeout», определяющей время неактивности, после которого keep-alive соединение закрывается).
- Появилась переменная $connection_time, через которую можно получить информацию о продолжительности соединения в секундах с миллисекундной точностью.
- В уже имеющиеся директивы «proxy_cache_path», «fastcgi_cache_path», «scgi_cache_path» и «uwsgi_cache_path» добавлен параметр «min_free», регулирующий размер кэша на основе определения минимального размера свободного дискового пространства.
- Директивы «lingering_close», «lingering_time» и «lingering_timeout» адаптированы для работы с HTTP/2.
- Разработчики также приблизили код обработки соединений в HTTP/2 к реализации HTTP/1.x. Поддержка отдельных настроек «http2_recv_timeout», «http2_idle_timeout» и «http2_max_requests» прекращена в пользу общих директив «keepalive_timeout» и «keepalive_requests». Удалены настройки «http2_max_field_size» и «http2_max_header_size», вместо них нужно использовать «large_client_header_buffers».
- Появилась новая опция командной строки »-e». Она дает возможность указать альтернативный файл для записи лога ошибок, который будет использоваться вместо лога, заданного в настройках. Вместо имени файла можно указать специальное значение stderr.
