Exécuter des protocoles SSL et non-SSL sur le même port avec NGINX 1.15.2

Faisal MemonIngénieur logiciel

Nous avons le plaisir d’annoncer aujourd’hui la disponibilité de NGINX Open Source 1.15.2. L’une des principales nouveautés de cette version est la nouvelle variable « $ssl_preread_protocol », qui permet de distinguer SSL/TLS des autres protocoles lors du transfert du trafic à l’aide d’un proxy TCP (stream). Cette fonctionnalité est utile si vous souhaitez contourner les restrictions d’un pare-feu, par exemple en exécutant des services SSL/TLS et SSH sur le même port.

La nouvelle fonctionnalité sera également proposée aux clients de NGINX Plus dans la prochaine version NGINX Plus R16.

Quand et comment utiliser $ssl_preread_protocol

Lorsque vous terminez et déchiffrez le trafic SSL/TLS à l’aide des modules « http » ou « stream », la variable $ssl_protocol (http, stream) enregistre la version de SSL ou TLS utilisée par le client. Toutefois, il peut arriver que vous souhaitiez simplement transférer le trafic SSL/TLS sans le déchiffrer, en utilisant les modules « stream » pour mettre en œuvre un proxy TCP de base ou un équilibreur de charge.

Le module stream_ssl_preread inspecte le message ClientHello initial d’une connexion SSL ou TLS et en extrait plusieurs valeurs qui peuvent être utilisées pour gérer la connexion. La variable $ssl_preread_protocol, ajoutée dans la version 1.15.2, récupère le numéro de la version SSL/TLS la plus récente à partir du champ client_version du message ClientHello. Si l’extension supported_versions est présente dans le message ClientHello, la variable est alors définie sur TLSv1.3.

Si une connexion n’utilise aucune version de SSL ou TLS, la variable « $ssl_preread_protocol » sera vide, ce qui indique que la connexion utilise un protocole autre que SSL/TLS, tel que SSH.

L’extrait de configuration suivant utilise la variable « $ssl_preread_protocol » dans un bloc map afin d’attribuer à la variable « $upstream » le nom du groupe en amont correspondant au protocole utilisé pour la connexion. La directive proxy_pass transmet ensuite la requête au groupe en amont sélectionné. Notez que la directive ssl_preread on doit être incluse dans le bloc server pour que la variable « $ssl_preread_protocol » fonctionne.

stream {    upstream ssh {
        server 192.0.2.1:22;
    }

    upstream web {
        server 192.0.2.2:443;
    }

    map $ssl_preread_protocol $upstream {
        default ssh;
        "TLSv1.2" web;
    }

    # SSH and SSL on the same port
    server {
        listen 443;

        proxy_pass $upstream;
        ssl_preread on;
    }
}

Pour que la configuration soit effective, les clients doivent accéder au serveur SSH sur le port 443 au lieu du port 22 par défaut. Avec le client SSH intégré à macOS et Linux, par exemple, vous pouvez utiliser l’option -p pour changer de port :

$ ssh ssh-server-ip-address -p 443

Comment obtenir la dernière version de NGINX

La dernière version de NGINX est toujours disponible dans la branche principale de notre dépôt officiel.

En savoir plus

NGINX Open Source 1.15.2 comprend des améliorations supplémentaires et des corrections de bugs. Pour obtenir la liste complète des nouveautés, consultez le journal des modifications de NGINX.

À propos de l’auteur

Faisal MemonIngénieur logiciel

Autres articles de Faisal Memon