欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  网络运营

Nginx 启用 BoringSSL的配置方法

程序员文章站 2022-09-25 23:18:04
本文介绍以 boringssl 作为 nginx 加密库的配置方法。 boringssl 是由谷歌从 openssl 中抽出来后独立发展的作品,是 google、clou...

本文介绍以 boringssl 作为 nginx 加密库的配置方法。

boringssl 是由谷歌从 openssl 中抽出来后独立发展的作品,是 google、cloudflare 等大牌的御用。

boringssl 有优点也有缺点:优点是它原生提供 加密算法等价组 (具体我之后会写文章介绍)支持,并且对 tls1.3-draft23 支持较为不错;而缺点是不能在 nginx 下启用 tls1.3 协议,且 boringssl 自身容易编译失败。

本文介绍使用 boringssl 替代 openssl 作为 nginx 加密库的方式。

boringssl

首先你需要把 boringssl 编译出来。建议编译所用主机配置 2g 及以上内存,因为 cmake 相当消耗内存。以下步骤可能比较多,请按顺序一步步执行:

# 建立一个目录,我们的工作都在这里进行
mkdir -p /home/nginx-installation && cd /home/nginx-installation

# 安装编译所需依赖
# boringssl 需要 golang 支持
apt-get install -y build-essential make cmake golang

# 把 boringssl 源码克隆下来
git clone --dep 1 https://boringssl.googlesource.com/boringssl && cd boringssl

# 编译开始
mkdir -p /home/nginx-installation/boringssl/build /home/nginx-installation/boringssl/.openssl/lib /home/nginx-installation/boringssl/.openssl/include
ln -sf /home/nginx-installation/boringssl/include/openssl /home/nginx-installation/boringssl/.openssl/include/openssl
touch /home/nginx-installation/boringssl/.openssl/include/openssl/ssl.h
cmake -b/home/nginx-installation/boringssl/build -h/home/nginx-installation/boringssl
make -c /home/nginx-installation/boringssl/build
cp /home/nginx-installation/boringssl/build/crypto/libcrypto.a /home/nginx-installation/boringssl/build/ssl/libssl.a /home/nginx-installation/boringssl/.openssl/lib

以上步骤完成后,就先把 boringssl 编译完成了。接下来要用 --with-openssl 把它提供给 nginx 使用。

nginx

使用以下参数来编译 nginx:

# 使用 --with-openssl 指定 boringssl 路径
# 这里并没有变成 "--with-boringssl"
./configure ... --with-openssl=/home/nginx-installation/boringssl

# 在 configure 后,要先 touch 一下,才能继续 make
touch /home/nginx-installation/boringssl/.openssl/include/openssl/ssl.h

make
make install

把 nginx 编译出来后,查看参数你会看到:

sudo nginx -v

built by gcc 4.9.2 (debian 4.9.2)
built with openssl 1.1.0 (conpatible: boringssl) (running with boringssl)
tls sni support enabled

发现了吗?里面耀眼的 boringssl 字样。

cipher suite

虽说把 openssl 换成了 boringssl,其实加密套件的写法还是差不多一样的。你可以这样写:

复制代码 代码如下:

ssl_ciphers  'ecdhe-ecdsa-aes128-gcm-sha256 ecdhe-ecdsa-chacha20-poly1305 ecdhe-rsa-aes128-gcm-sha256 ecdhe-rsa-chacha20-poly1305 ecdhe-ecdsa-aes256-gcm-sha384 ecdhe-rsa-aes256-gcm-sha384 ecdhe-ecdsa-aes128-sha256 ecdhe-rsa-aes128-sha256';

当然,如果你想用上 boringssl 的 等价组 特性的话,可以改成这样:

复制代码 代码如下:

ssl_ciphers  '[ecdhe-ecdsa-aes128-gcm-sha256|ecdhe-ecdsa-chacha20-poly1305|ecdhe-rsa-aes128-gcm-sha256|ecdhe-rsa-chacha20-poly1305] ecdhe-ecdsa-aes256-gcm-sha384 ecdhe-rsa-aes256-gcm-sha384 ecdhe-ecdsa-aes128-sha256 ecdhe-rsa-aes128-sha256';

以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持。