本文介绍了如何为NGINX Plus和接受TCP连接的负载均衡的服务器组设置SSL

什么是SSL终端

SSL终端意味着NGINX Plus充当与客户端连接的服务器端SSL端点：它执行对请求的解密和对响应的加密，否则后端服务器就必须这样做。该操作称为终止，因为NGINX Plus关闭了客户端连接，并通过新创建的未加密连接将客户端数据转发到上游组中的服务器。在R6和更高版本中，NGINX Plus对TCP连接和HTTP连接执行SSL终止。

先决条件

• NGINX Plus R6 NGINX Plus或更高版本
• 具有多个TCP服务器的负载均衡的上游组
• SSL证书和私钥（获取或自行生成）

获取SSL证书

首先，您将需要获取服务器证书和私钥，并将它们放在服务器上。可以从可信证书颁发机构（CA）获得证书，也可以使用SSL库（例如OpenSSL）生成证书。

配置NGINX Plus

要配置SSL终止，请在NGINX Plus配置中添加以下指令：

stream {server {listen     12345 ssl;proxy_pass backend;#...}
}

server {#...ssl_certificate        /etc/ssl/certs/server.crt;ssl_certificate_key    /etc/ssl/certs/server.key;
}

server {#...ssl_protocols  TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers    HIGH:!aNULL:!MD5;
}

加快安全的TCP连接

实施SSL / TLS可能会严重影响服务器性能，因为SSL握手操作（客户端和服务器交换一系列消息以验证连接是否可信任）会占用大量CPU。SSL握手的默认超时为60秒，可以使用ssl_handshake_timeout伪指令重新定义。我们不建议将此值设置得太低或太高，因为这可能导致握手失败或等待握手完成的时间较长：

server {#...ssl_handshake_timeout 10s;
}

ssl_session_cache;

ssl_session_cache shared:SSL:1m;

ssl_session_timeout 4h;

server {#...ssl_session_cache   shared:SSL:20m;ssl_session_timeout 4h;
}

server {#...ssl_session_tickets on;
}

server {#...ssl_session_tickets on;ssl_session_ticket_key /etc/ssl/session_ticket_keys/current.key;ssl_session_ticket_key /etc/ssl/session_ticket_keys/previous.key;
}

完整的例子

stream {upstream stream_backend {server backend1.example.com:12345;server backend2.example.com:12345;server backend3.example.com:12345;}server {listen                12345 ssl;proxy_pass            stream_backend;ssl_certificate       /etc/ssl/certs/server.crt;ssl_certificate_key   /etc/ssl/certs/server.key;ssl_protocols         SSLv3 TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers           HIGH:!aNULL:!MD5;ssl_session_cache     shared:SSL:20m;ssl_session_timeout   4h;ssl_handshake_timeout 30s;#...}
}

在此示例中，该server块中的指令指示NGINX Plus终止并解密来自客户端的安全TCP流量，并将未加密的流量传递给stream_backend由三台服务器组成的上游组。

伪指令的ssl参数listen指示NGINX Plus接受SSL连接。当客户端请求安全的TCP连接时，NGINX Plus将启动握手过程，该过程将使用ssl_certificate指令指定的PEM格式证书，指令指定的证书私钥以及and 指令ssl_certificate_key列出的协议和密码。ssl_protocolsssl_ciphers

一旦建立了安全的TCP连接，NGINX Plus就会根据ssl_session_cache指令缓存会话参数。在该示例中，会话高速缓存在所有工作进程（shared参数）之间共享，大小为20 MB（20m参数），并且将每个SSL会话保留4小时以供重用（ssl_session_timeout指令）。

要了解有关NGINX Plus的更多信息，请参阅我们的商业订阅的描述。