可搜索,可注册,可登录,致敬逗比大佬!尽在救援版逗比根据地 dbgjd.com
投稿文章 | 广告合作 | Telegram 群组 / 公告频道 / 使用教程

Nginx 启用 BoringSSL

News mlone11978 107℃ 0评论

BoringSSL 是由谷歌从 OpenSSL 中抽出来后独立发展的作品。

BoringSSL 有优点也有缺点:优点是它原生提供加密算法等价组(具体我之后会写文章介绍)支持,且相比 OpenSSL 在最新分支上更为稳定。

本文介绍使用 BoringSSL 作为 Nginx 加密库的方式。

BoringSSL

首先你需要把 BoringSSL 编译出来。建议编译所用主机配置 2G 及以上内存,因为 cmake 较消耗内存。以下步骤可能比较多,按顺序一步步执行:

# 安装编译所需依赖 # BoringSSL 需要 Golang 支持 apt install -y build-essential make cmake golang  # 把 BoringSSL 源码克隆下来 git clone --depth=1 https://boringssl.googlesource.com/boringssl  # 编译开始 cd boringssl mkdir build && cd build cmake -DCMAKE_BUILD_TYPE=Release ../ make cd .. mkdir -p .openssl/lib && cd .openssl && ln -s ../include . cd .. cp build/crypto/libcrypto.a build/ssl/libssl.a .openssl/lib cd .. 

以上步骤完成后,就先把 BoringSSL 编译完成了。接下来要用 --with-openssl=... 把它提供给 Nginx 使用。

Nginx

使用以下参数来编译 Nginx:

# 使用 --with-openssl 指定 BoringSSL 路径 # 注意这里并没有变成 "--with-boringssl" ./configure  ...  --with-openssl=.../boringssl  # 在 configure 后,要先 touch 一下,才能继续 make touch .../boringssl/.openssl/include/openssl/ssl.h  make make install 

把 Nginx 编译出来后,查看参数你会看到:

sudo nginx -V  built by gcc 8.2.0 (Debian 4.9.6) built with OpenSSL 1.1.0 (conpatible: BoringSSL) (running with BoringSSL) TLS SNI support enabled 

发现了吗?里面耀眼的 BoringSSL 字样。

Cipher Suite

虽说把 OpenSSL 换成了 BoringSSL,其实加密套件的写法还是一样的。你可以这样写:

ssl_ciphers  'ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-CHACHA20-POLY1305 ECDHE-RSA-AES256-GCM-SHA384'; 

当然,如果你想上等价组特性的话,可以这样写:

ssl_ciphers  '[ECDHE-RSA-AES128-GCM-SHA256|ECDHE-RSA-CHACHA20-POLY1305] ECDHE-RSA-AES256-GCM-SHA384'; 

转载请注明:逗比根据地 » Nginx 启用 BoringSSL

喜欢 (0)
发表我的评论
取消评论

表情

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址