Presentamos NGINX Plus R22

Liam CrillyDirector sénior de Gestión de Producto

Nos complace anunciar que NGINX Plus Release 22 (R22) ya está disponible. Basado en NGINX Open Source, NGINX Plus es el único equilibrador de carga de software, caché de contenido, servidor web y puerta de enlace de API todo en uno. Esta versión se centra principalmente en la supervisión y la autenticación, para mejorar la granularidad y la resiliencia de sus aplicaciones a gran escala.

Entre las nuevas funciones de NGINX Plus R22 se incluyen:

• Mejoras en la autenticación mediante certificados de cliente – La verificación mediante el protocolo de estado de certificados en línea (OCSP) añade una capa de seguridad para comprobar si hay certificados revocados al utilizar TLS mutuo.
• Compatibilidad de OpenID Connect con varios IdP – En NGINX Plus R15, incorporamos la integración con OpenID Connect (OIDC) para que nuestros clientes pudieran añadir el inicio de sesión único (SSO) a sus aplicaciones. Con NGINX Plus R22, puede integrar fácilmente varios proveedores de identidad (IdP) OIDC.
• Más métricas en el panel de monitorización de la actividad en tiempo real – El panel ahora muestra métricas sobre la actividad de OIDC y gráficos históricos de la limitación de solicitudes y conexiones.
• Mejoras del módulo JavaScript de NGINX – El módulo JavaScript de NGINX (njs) se ha actualizado a la versión 0.4.1, con varias correcciones de errores y nuevas funciones, como la importación de módulos JavaScript y el acceso a objetos de cabecera sin procesar.

Cambios importantes en el comportamiento

• Los sistemas operativos antiguos ya no son compatibles –
  • Alpine Linux 3.8 ya no es compatible
  • Tal como se anunció para NGINX Plus R21<.htmla>, NGINX Plus ya no está disponible en plataformas de 32 bits (arquitectura i386)

Nuevas funciones en detalle

Validación OCSP de certificados de cliente

NGINX Plus admite TLS mutuo, que utiliza certificados de cliente tanto para verificar la identidad del cliente que se conecta como para establecer una conexión cifrada. TLS mutuo ofrece un alto nivel de garantía sobre la identidad del cliente, pero la gestión de los certificados revocados puede suponer una carga administrativa. El Protocolo de estado de certificados en línea (OCSP) resuelve este problema verificando el estado de los certificados de cliente cuando se presentan.

Puede configurar NGINX Plus para que utilice OCSP a fin de comprobar la validez de los certificados de cliente X.509, según lo definido en RFC 6960.

Para habilitar la validación OCSP de los certificados SSL de cliente, incluya la nueva directiva ssl_ocsp junto con la directiva ssl_verify_client, que habilita la verificación de certificados.

Cargando ejemplo de código…

NGINX Plus envía la solicitud OCSP al URI de OCSP incluido en el certificado de cliente, a menos que defina un URI diferente mediante la directiva ssl_ocsp_responder.

Para almacenar en caché las respuestas OCSP en una única zona de memoria compartida por todos los procesos de trabajo, incluya la directiva ssl_ocsp_cache para definir el nombre y el tamaño de la zona. Las respuestas se almacenan en caché durante 1 hora, a menos que el valor nextUpdate de la respuesta OCSP especifique un periodo diferente.

El resultado de la validación del certificado de cliente está disponible en la variable $ssl_client_verify, incluido el motivo del fallo de OCSP.

El protocolo de enlace TLS falla si el certificado de cliente no es de confianza o si la respuesta OCSP no es válida. Se devuelve el código de estado 495 (SSL Certificate Error) y se crea una entrada en el registro de errores con el nivel de gravedad error:

YYYY/MM/DD hh:mm:ss [error] 31222#0: *5 certificate status "revoked" in the OCSP response while requesting certificate status, responder: 127.0.0.1

Mejoras de OpenID Connect

Nuestra implementación de referencia de OpenID Connect para NGINX Plus amplía el SSO a aplicaciones nuevas y existentes para minimizar la complejidad y los costes. La implementación de referencia utiliza una combinación de funcionalidades de NGINX Plus y el módulo JavaScript de NGINX (njs) para realizar un intercambio de código con el endpoint de autorización y recibir un token de ID del IdP. Los tokens de ID se almacenan en caché en el almacén de clave-valor de NGINX Plus y se envía al cliente un token de sesión opaco. A continuación, los clientes se autentican presentando un token de sesión válido que NGINX Plus utiliza para verificar el token de ID antes de acceder a las aplicaciones de backend.

Esta versión incorpora numerosas mejoras en la implementación de referencia de OIDC, así como dos cambios importantes:

1. La configuración ahora admite varios IdP mediante el envío de las variables de entrada adecuadas de las solicitudes entrantes a varios bloques map. Esta flexibilidad adicional reduce la necesidad de modificar el código de la implementación de referencia de OIDC.
2. El código JavaScript ahora está implementado como un módulo, de modo que puede coexistir con otras soluciones njs en el mismo host sin necesidad de gestionar todo el código njs en un único archivo.

Este es un ejemplo de configuración:

Cargando ejemplo de código…

Cada bloque map admite varios valores, lo que permite utilizar varios IdP y parámetros de autenticación (secreto de cliente, archivo de claves JWK y endpoints de autorización). Aquí utilizamos la variable $host como parámetro de entrada, pero puede especificar cualquier variable derivada de la cabecera de la solicitud.

La API de NGINX Plus ahora realiza un seguimiento de la actividad relacionada con los inicios de sesión de OpenID Connect para facilitar la supervisión y la resolución de problemas. Consulte el repositorio de GitHub para obtener más información sobre la implementación de referencia de OpenID Connect.

Gráficos del panel de control en tiempo real para la limitación de la tasa y de las conexiones

Los ataques DDoS y los intentos de adivinar contraseñas por fuerza bruta son dos amenazas críticas para sus aplicaciones. Puede mitigar sus efectos mediante la limitación de la tasa de solicitudes, haciendo que NGINX Plus limite el número de solicitudes que cada cliente puede realizar en un periodo de tiempo determinado.

NGINX Plus R20 añadió la supervisión en tiempo real de la tasa de solicitudes y la limitación de conexiones a la API de NGINX Plus (en los endpoints /api/version/http/limit_reqs y /api/version/http/limit_conns). La información aparece ahora en el panel de supervisión de la actividad en tiempo real de NGINX Plus, con recuentos acumulados en forma de tabla y recuentos con marca de tiempo en forma de gráfico:

• Las métricas de limitación de la tasa de solicitudes aparecen en la tabla «Limit Req» de la pestaña «HTTP Zones»
• Las métricas de limitación de conexiones aparecen en la tabla Limit Conn de la pestaña Zonas TCP/UDP tab

La tabla incluye una fila por cada zona definida mediante una directiva limit_req_zone o limit_conn_zone. Para mostrar el gráfico, haga clic en el icono de gráfico situado en el extremo izquierdo de la fila.

El gráfico ampliado se actualiza continuamente y muestra los valores de cada intervalo de tiempo como un gráfico de áreas apiladas. Puede personalizar la información mostrada de las siguientes maneras:

• Elija el intervalo de tiempo que desea mostrar: 1 minuto, 5 minutos o 15 minutos
• Pase el cursor sobre el gráfico para mostrar los recuentos exactos de un momento concreto
• Pase el cursor sobre un tipo de estadística en el área de la leyenda para resaltar esa estadística en el gráfico
• Haz clic en un tipo de estadística en el área de la leyenda para alternar entre mostrarlo y ocultarlo
• Arrastra el gráfico hacia la izquierda y hacia la derecha para ver los datos históricos

Con el intervalo predeterminado de actualización del panel de 1 segundo, cada gráfico almacena unos 30 minutos de datos históricos. Aumentar el intervalo de actualización del panel (actualizar con menos frecuencia) aumenta la cantidad de datos históricos disponibles. Tenga en cuenta que los gráficos del panel no son persistentes y que los datos históricos se pierden al salir de la pestaña o volver a cargarla.

Mejoras del módulo JavaScript de NGINX

El módulo JavaScript de NGINX amplía la funcionalidad de NGINX Plus para permitir una amplia variedad de casos de uso, como obtener un control más preciso del tráfico, consolidar las funciones de JavaScript entre aplicaciones y protegerse frente a amenazas de seguridad. El módulo JavaScript de NGINX se ha actualizado a la versión 0.4.1 e incluye estas funciones:

• La nueva directiva «js_import» para importar varios archivos de módulo que implementan controladores de ubicaciones y variables
• Compatibilidad mejorada con las cabeceras, incluidos los nuevos objetos de cabecera sin procesar
• Puedes usar archivos de definición de TypeScript en tu código njs
• Compatibilidad con la conversión de valores externos en objetos JavaScript nativos

El siguiente código y configuración muestran cómo se puede utilizar el nuevo objeto r.rawHeadersIn para registrar el conjunto exacto de cabeceras enviadas por el cliente cada vez que se produce un error. [Nota del editor: Este es solo uno de los muchos casos de uso del módulo JavaScript de NGINX. Para consultar la lista completa, véase Casos de uso del módulo JavaScript de NGINX.]

Cargando ejemplo de código…

Cargando ejemplo de código…

Este es un ejemplo de entrada de registro para una respuesta 404:

$ curl http://localhost/bogus
$ tail --lines=1 /var/log/nginx/access_json.log
{"response":{"timestamp":"YYYY-MM-DDThh:mm:ss+TZ_offset","status":404},"request":{"client":"127.0.0.1","uri":"/bogus","headers":[["Host","localhost:80"],["User-Agent","curl/7.64.1"],["Accept","*/*"]]}}

Retraso tras un fallo de autenticación

Para mitigar los ataques de temporización como los ataques de fuerza bruta contra contraseñas y el relleno de credenciales, puede hacer que NGINX Plus retrase su respuesta cuando falle la autenticación. La nueva directiva auth_delay especifica el retraso, que puede aplicarse a las solicitudes de autenticación procesadas por los módulos Auth Basic, Auth JWT y Auth Request.

Actualice o pruebe NGINX Plus

Si utiliza NGINX Plus, le recomendamos encarecidamente que actualice a NGINX Plus R22 lo antes posible. También obtendrá varias correcciones y mejoras adicionales, y facilitará que NGINX pueda ayudarle cuando necesite abrir una incidencia de soporte.

Si aún no ha probado NGINX Plus, le animamos a hacerlo, ya sea para la seguridad, el balanceo de carga y la puerta de enlace de API, o como servidor web con soporte completo y API mejoradas de supervisión y gestión. Puede empezar hoy mismo con una prueba gratuita de 30 días. Compruebe por sí mismo cómo NGINX Plus puede ayudarle a distribuir y escalar sus aplicaciones.

Sobre el autor

Liam CrillyDirector sénior de Gestión de Producto

Más artículos de Liam Crilly