为Nginx添加TLS 1.3协议支持

发表于 更新于 分类于 ， Waline： 阅读次数： 本文字数： 2.8k 阅读时长 ≈ 7 分钟

　　TLS 1.3协议已于2018年8月正式发表，原计划在CentOS 8发布以后，一并部署支持，但无奈呉真的VPS是基于Xen的版半虚拟化技术，暂时无法提供CentOS 8的模板。于是在CentOS7的基础上，重新编译Nginx，以支持TLS 1.3。

准备工作

　　TLS 1.3要求的OpenSSL最低版本为1.1.1，因此我们除了Nginx的源码外，还要准备OpenSSL 1.1.1的源码。

1
2
3
4
5
6
7
8
9
10
11
 
# 预先定义Nginx及OpenSSL版本
NGINX_VERSION="nginx-1.17.4"
OPENSSL_VERSION="openssl-1.1.1d"

# 下载源码并解压
cd /usr/local/src
wget http://nginx.org/download/$NGINX_VERSION.tar.gz -O $NGINX_VERSION.tar.gz
wget https://www.openssl.org/source/$OPENSSL_VERSION.tar.gz -O $OPENSSL_VERSION.tar.gz
tar -xzvf $NGINX_VERSION.tar.gz
tar -xzvf $OPENSSL_VERSION.tar.gz
cd $NGINX_VERSION

编译Nginx

　　Nginx不同于Apache，不需要重新编译OpenSSL，只需要在编译Nginx时指定新版本OpenSSL源码路径。使用nginx -V命令，查看当前Nginx的编译参数。

1
2
3
4
5
6
 
nginx -V
> nginx version: nginx/1.17.4
> built by gcc 4.8.5 20150623 (Red Hat 4.8.5-36) (GCC)
> built with OpenSSL 1.0.2k-fips  26 Jan 2017
>TLS SNI support enabled
> configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie'

　　使用旧的编译参数配置新的Nginx编译参数。

1
2
 
./configure --with-openssl=../$OPENSSL_VERSION/ 你复制的当前编译参数
make

　　替换Nginx的可执行文件。

1
2
3
 
cd /usr/sbin
mv nginx nginx.bk
ln -s /usr/local/src/$NGINX_VERSION/objs/nginx nginx

　　修改Nginx配置文件，以开启TLS 1.3支持，并重启Nginx。

1
2
3
 
# Mozilla Intermediate configuration
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;

测试TLS 1.3是否开启成功

  • 使用SSL Labs测试
  • Chrome Console -> Security -> Connection

可选操作