Rotação de certificados SSL/TLS sem reinicializações no NGINX Open Source

Maxim Ivanitskiy

No universo dos servidores web de alto desempenho, o NGINX é uma escolha popular porque sua arquitetura leve e eficiente permite lidar com grandes volumes de tráfego. Com a introdução da função de dicionário compartilhado como parte do módulo JavaScript do NGINX (njs), os recursos de desempenho do NGINX alcançam um novo patamar.

Nesta publicação do blog, exploramos a funcionalidade e os benefícios do dicionário compartilhado do njs e mostramos como configurar o NGINX Open Source sem precisar reiniciá-lo ao renovar certificados SSL/TLS.

Noções básicas e benefícios do dicionário compartilhado

A nova diretiva js_shared_dict_zone permite que os usuários do NGINX Open Source habilitem zonas de memória compartilhada para a troca eficiente de dados entre processos de trabalho. Essas zonas de memória compartilhada funcionam como dicionários de chave-valor, armazenando configurações dinâmicas que podem ser acessadas e modificadas em tempo real.

Os principais benefícios do dicionário compartilhado incluem:

• Sobrecarga mínima e facilidade de uso – Integrado diretamente ao njs, é fácil de provisionar e usar, com uma API intuitiva e uma implementação simples. Ele também ajuda a simplificar o processo de gerenciamento e compartilhamento de dados entre processos de trabalho.
• Leve e eficiente – Integra-se perfeitamente ao NGINX, aproveitando seu modelo de E/S não bloqueante e orientado a eventos. Essa abordagem reduz o uso de memória e melhora a simultaneidade, permitindo que o NGINX processe com eficiência muitas conexões simultâneas.
• Escalabilidade – Aproveita a capacidade do NGINX de escalar horizontalmente entre vários processos de trabalho, permitindo compartilhar e sincronizar dados entre esses processos sem a necessidade de mecanismos complexos de comunicação entre processos. A configuração de tempo de vida (TTL) permite gerenciar registros nas entradas do dicionário compartilhado, removendo-os da zona devido à inatividade. O parâmetro evict remove o par chave-valor mais antigo para liberar espaço para novas entradas.

Rotação de SSL com o dicionário compartilhado

Um dos casos de uso mais relevantes do dicionário compartilhado é a rotação de SSL/TLS. Ao usar js_shared_dict_zone, não é necessário reiniciar o NGINX quando um certificado ou uma chave SSL/TLS é atualizado. Além disso, ele oferece uma API semelhante a REST para gerenciar certificados no NGINX.

Abaixo está um exemplo do arquivo de configuração do NGINX que configura o servidor HTTPS com as diretivas js_set e ssl_certificate. Os manipuladores JavaScript usam js_set para ler o certificado SSL/TLS ou a chave de um arquivo.

Este trecho de configuração usa o dicionário compartilhado para armazenar certificados e chaves na memória compartilhada como um cache. Se a chave não estiver presente, ele lerá o certificado ou a chave do disco e os colocará no cache.

Você também pode expor um local que limpe o cache. Depois que os arquivos no disco forem atualizados (por exemplo, quando os certificados e as chaves forem renovados), o dicionário compartilhado força a leitura a partir do disco. Esse ajuste permite alternar certificados/chaves sem precisar reiniciar o processo do NGINX.

http {     ...
    js_shared_dict_zone zone=kv:1m;
   
    server {
    …
     # Sets an njs function for the variable. Returns a value of cert/key
      js_set $dynamic_ssl_cert main.js_cert;
      js_set $dynamic_ssl_key main.js_key;
   
      # use variable's data
      ssl_certificate data:$dynamic_ssl_cert;
      ssl_certificate_key data:$dynamic_ssl_key;
     
     # a location to clear cache 
   location = /clear {
      js_content main.clear_cache;
      # allow 127.0.0.1;
      # deny all;
    }
  ...
  }

E aqui está a implementação em JavaScript para a rotação de certificados e chaves SSL/TLS usando js_shared_dict_zone:

function js_cert(r) {  if (r.variables['ssl_server_name']) {
    return read_cert_or_key(r, '.cert.pem');
  } else {
    return '';
  }
}

function js_key(r) {
  if (r.variables['ssl_server_name']) {
    return read_cert_or_key(r, '.key.pem');
  } else {
    return '';
  }
}
/** 
   * Retrieves the key/cert value from Shared memory or fallback to disk
   */
  function read_cert_or_key(r, fileExtension) {
    let data = '';
    let path = '';
    const zone = 'kv';
    let certName = r.variables.ssl_server_name;
    let prefix =  '/etc/nginx/certs/';
    path = prefix + certName + fileExtension;
    r.log('Resolving ${path}');
    const key = ['certs', path].join(':');
    const cache = zone && ngx.shared && ngx.shared[zone];
   
    if (cache) {
    data = cache.get(key) || '';
    if (data) {
      r.log(`Read ${key} from cache`);
      return data;
    }
  }
  try {
    data = fs.readFileSync(path, 'utf8');
    r.log('Read from cache');
  } catch (e) {
    data = '';
    r.log(`Error reading from file:${path}. Error=${e}`);
  }
  if (cache && data) {
    try {
      cache.set(key, data);
      r.log('Persisted in cache');
    } catch (e) {
      const errMsg = `Error writing to shared dict zone: ${zone}. Error=${e}`;
      r.log(errMsg);
    }
  }
  return data
}

Ao enviar a solicitação /clear, o cache é invalidado, e o NGINX carrega o certificado ou a chave SSL/TLS do disco no próximo handshake SSL/TLS. Além disso, você pode implementar um js_content que obtenha um certificado ou uma chave SSL/TLS da solicitação e também os armazene e atualize no cache.

O código completo deste exemplo pode ser encontrado no repositório do njs no GitHub.

Comece hoje mesmo

A função de dicionário compartilhado é uma ferramenta poderosa para a programabilidade da sua aplicação, oferecendo vantagens significativas em termos de simplificação e escalabilidade. Ao aproveitar os recursos de js_shared_dict_zone, você pode criar novas oportunidades de crescimento e lidar com eficiência com o aumento da demanda de tráfego.

Pronto para turbinar sua implantação do NGINX com o js_shared_dict_zone? Você pode atualizar sua implantação do NGINX com o js_shared_dict_zone para viabilizar novos casos de uso e saber mais sobre esse recurso em nossa documentação. Além disso, você pode conferir um exemplo completo de uma função de dicionário compartilhado no recém-lançado projeto njs-acme, que permite que o ambiente de execução do módulo njs funcione com provedores ACME.

Se você tem interesse em começar a usar o NGINX Open Source e está com dúvidas, participe do Slack da comunidade NGINX – apresente-se e conheça esta comunidade de usuários do NGINX!

Sobre o autor

Maxim Ivanitskiy

Mais publicações de Maxim Ivanitskiy