SSL- und Nicht-SSL-Protokolle mit NGINX 1.15.2 über denselben Port betreiben

Faisal MemonSoftwareentwickler

Wir freuen uns, heute die Verfügbarkeit von NGINX Open Source 1.15.2 bekannt geben zu können. Eine wichtige Neuerung in dieser Version ist die neue Variable „$ssl_preread_protocol“, mit der Sie beim Weiterleiten von Datenverkehr über einen TCP-Proxy (stream) zwischen SSL/TLS und anderen Protokollen unterscheiden können. Dies ist hilfreich, wenn Sie Firewall-Beschränkungen umgehen möchten, indem Sie beispielsweise SSL/TLS- und SSH-Dienste über denselben Port betreiben.

Die neue Funktion wird mit der kommenden Version NGINX Plus R16 auch für Kunden von NGINX Plus verfügbar sein.

When and How to Use $ssl_preread_protocol

Wenn Sie SSL/TLS-Datenverkehr mit den Modulen http oder stream terminieren und entschlüsseln, erfasst die Variable $ssl_protocol (http, stream) die vom Client verwendete SSL- oder TLS-Version. Manchmal möchten Sie SSL/TLS-Datenverkehr jedoch lediglich weiterleiten, ohne ihn zu entschlüsseln, und dazu mit den stream-Modulen einen einfachen TCP-Proxy oder Load-Balancer implementieren.

Das Modul stream_ssl_preread untersucht die anfängliche ClientHello-Nachricht in einer SSL- oder TLS-Verbindung und extrahiert mehrere Werte, die zur Verwaltung der Verbindung verwendet werden können. Die mit Version 1.15.2 hinzugefügte Variable $ssl_preread_protocol erfasst die neueste SSL/TLS-Versionsnummer aus dem Feld client_version der ClientHello-Nachricht. Wenn die Erweiterung supported_versions in der ClientHello-Nachricht vorhanden ist, wird die Variable auf TLSv1.3 gesetzt.

Wenn eine Verbindung keine SSL- oder TLS-Version verwendet, bleibt die Variable „$ssl_preread_protocol“ leer. Dies weist darauf hin, dass die Verbindung ein anderes Protokoll als SSL/TLS verwendet, beispielsweise SSH.

Das folgende Konfigurationsbeispiel verwendet die Variable $ssl_preread_protocol in einem map-Block, um die Variable $upstream auf den Namen der Upstream-Gruppe festzulegen, die für das von der Verbindung verwendete Protokoll geeignet ist. Die Direktive proxy_pass leitet die Anfrage anschließend an die ausgewählte Upstream-Gruppe weiter. Beachten Sie, dass die Direktive ssl_preread on im server-Block enthalten sein muss, damit die Variable $ssl_preread_protocol funktioniert.

stream {    upstream ssh {
        server 192.0.2.1:22;
    }

    upstream web {
        server 192.0.2.2:443;
    }

    map $ssl_preread_protocol $upstream {
        default ssh;
        "TLSv1.2" web;
    }

    # SSH and SSL on the same port
    server {
        listen 443;

        proxy_pass $upstream;
        ssl_preread on;
    }
}

Damit die Konfiguration wirksam wird, müssen Clients statt über den Standardport 22 über Port 443 auf den SSH-Server zugreifen. Mit dem integrierten SSH-Client unter macOS und Linux können Sie beispielsweise mit der Option -p den Port ändern:

$ ssh ssh-server-ip-address -p 443

So erhalten Sie die neueste NGINX-Version

Die neueste Version von NGINX ist stets im Mainline-Zweig unseres offiziellen Repositorys verfügbar.

Mehr erfahren

NGINX Open Source 1.15.2 enthält weitere Verbesserungen und Fehlerbehebungen. Eine vollständige Liste der Neuerungen finden Sie im NGINX-Änderungsprotokoll.

Über den Autor

Faisal MemonSoftwareentwickler

Weitere Blogbeiträge von Faisal Memon