阅读 187

Nginx 启用 BoringSSL的配置方法

这篇文章主要介绍了Nginx 启用 BoringSSL的配置方法,小编觉得挺不错的,现在分享给大家,也给大家做个参考。一起跟随小编过来看看吧

本文介绍以 BoringSSL 作为 Nginx 加密库的配置方法。

BoringSSL 是由谷歌从 Openssl 中抽出来后独立发展的作品,是 Google、Cloudflare 等大牌的御用。

BoringSSL 有优点也有缺点:优点是它原生提供 加密算法等价组 (具体我之后会写文章介绍)支持,并且对 tls1.3-draft23 支持较为不错;而缺点是不能在 Nginx 下启用 tls1.3 协议,且 BoringSSL 自身容易编译失败。

本文介绍使用 BoringSSL 替代 Openssl 作为 Nginx 加密库的方式。

BoringSSL

首先你需要把 BoringSSL 编译出来。建议编译所用主机配置 2G 及以上内存,因为 cmake 相当消耗内存。以下步骤可能比较多,请按顺序一步步执行:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
# 建立一个目录,我们的工作都在这里进行
mkdir -p /home/nginx-installation && cd /home/nginx-installation
 
# 安装编译所需依赖
# BoringSSL 需要 Golang 支持
apt-get install -y build-essential make cmake golang
 
# 把 BoringSSL 源码克隆下来
git clone --dep 1 https://boringssl.googlesource.com/boringssl && cd boringssl
 
# 编译开始
mkdir -p /home/nginx-installation/boringssl/build /home/nginx-installation/boringssl/.openssl/lib /home/nginx-installation/boringssl/.openssl/include
ln -sf /home/nginx-installation/boringssl/include/openssl /home/nginx-installation/boringssl/.openssl/include/openssl
touch /home/nginx-installation/boringssl/.openssl/include/openssl/ssl.h
cmake -B/home/nginx-installation/boringssl/build -H/home/nginx-installation/boringssl
make -C /home/nginx-installation/boringssl/build
cp /home/nginx-installation/boringssl/build/crypto/libcrypto.a /home/nginx-installation/boringssl/build/ssl/libssl.a /home/nginx-installation/boringssl/.openssl/lib

以上步骤完成后,就先把 BoringSSL 编译完成了。接下来要用 --with-openssl 把它提供给 Nginx 使用。

Nginx

使用以下参数来编译 Nginx:

1
2
3
4
5
6
7
8
9
# 使用 --with-openssl 指定 BoringSSL 路径
# 这里并没有变成 "--with-boringssl"
./configure ... --with-openssl=/home/nginx-installation/boringssl
 
# 在 configure 后,要先 touch 一下,才能继续 make
touch /home/nginx-installation/boringssl/.openssl/include/openssl/ssl.h
 
make
make install

把 Nginx 编译出来后,查看参数你会看到:

1
2
3
4
5
sudo nginx -V
 
built by gcc 4.9.2 (Debian 4.9.2)
built with OpenSSL 1.1.0 (conpatible: BoringSSL) (running with BoringSSL)
TLS SNI support enabled

发现了吗?里面耀眼的 BoringSSL 字样。

Cipher Suite

虽说把 OpenSSL 换成了 BoringSSL,其实加密套件的写法还是差不多一样的。你可以这样写:


复制代码代码如下:


ssl_ciphers  'ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-CHACHA20-POLY1305 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256';



当然,如果你想用上 BoringSSL 的 等价组 特性的话,可以改成这样:


复制代码代码如下:


ssl_ciphers  '[ECDHE-ECDSA-AES128-GCM-SHA256|ECDHE-ECDSA-CHACHA20-POLY1305|ECDHE-RSA-AES128-GCM-SHA256|ECDHE-RSA-CHACHA20-POLY1305] ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256';



以上就是本文的全部内容,希望对大家的学习有所帮助



文章分类
后端
版权声明:本站是系统测试站点,无实际运营。本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至 XXXXXXo@163.com 举报,一经查实,本站将立刻删除。
相关推荐