☰

nginx：如何记录 TLS 错误（如果不支持密码/协议）

tag-icon • tag-icon nginx ssl openssl tls
nginx：如何记录 TLS 错误（如果不支持密码/协议）

我正在切换到 100% https。
服务器正在运行 nginx+libressl。

在转到 https:100% 之前，我想知道哪些客户端将无法再连接到我的网站。
例如，因为我不支持 SSL3。

我检查了 nginx 错误和访问日志，但是如果我尝试使用 SSL3 连接，其中没有一个包含有价值的信息。

我期望看到的内容：例如：

Client [IP]: Connection failed due to protocol/cipher mismatch.

然后我就可以 grep 访问/错误日志并查看有多少客户端无法再访问我的网站。

这可能吗？

当前的nginx.conf：

user                        www-data www-data;

pid                         /run/nginx.pid;

worker_processes            auto;
worker_rlimit_nofile        100000;

error_log                   /var/log/nginx/error.log;

events {
    worker_connections      2048;
    use                     epoll;
    multi_accept            on;
}

http {
    server_tokens           off;
    autoindex               off;
    charset                 UTF-8;

    include                 mime.types;
    default_type            application/octet-stream;

    log_format              main '$host - $remote_addr - $remote_user [$time_local] "$request" '
                                 '$status $body_bytes_sent "$http_referer" '
                                 '"$http_user_agent" "$http_x_forwarded_for"';
    access_log              /var/log/nginx/access.log main;

    keepalive_timeout       10;

    reset_timedout_connection   on;
    client_body_timeout         10;
    send_timeout                10;

    client_max_body_size    512k;

    sendfile                on;
    tcp_nopush              on;
    tcp_nodelay             on;

    server {
        listen              80;
        server_name         domain.com www.domain.com;
        return              301 https://www.domain.com$request_uri;
    }

    server {
        listen              443 ssl spdy;
        server_name         domain.com;

        include             conf.d/ssl.conf;

        return              301 https://www.domain.com$request_uri;
    }

    server {
        listen              443 ssl spdy;
        server_name         www.domain.com;
        root                /var/www/vhosts/domain.com/public_html;

        include             conf.d/ssl.conf;

        default_type        text/html;

        location / {
            return 200 'Hello World!';
        }
    }
}

conf.d/ssl.conf：

ssl                         on;

ssl_dhparam                 ssl/dhparam4096.pem;

ssl_session_cache           shared:SSL:10m;
ssl_session_timeout         10m;
ssl_buffer_size             1400;
spdy_headers_comp           6;
add_header                  Alternate-Protocol 443:npn-spdy/3;

ssl_protocols               TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers                 "AES256+EECDH:AES256+EDH";
ssl_prefer_server_ciphers   on;
ssl_ecdh_curve              secp384r1;

add_header                  X-Frame-Options DENY;
add_header                  X-Content-Type-Options nosniff;
add_header                  Strict-Transport-Security "max-age=31536000; includeSubDomains";

ssl_certificate             ssl/public.crt;
ssl_certificate_key         ssl/private.key;

ssl_stapling                on;
ssl_stapling_verify         on;
ssl_trusted_certificate     ssl/ca-certs.pem;
resolver                    8.8.8.8 valid=300s;
resolver_timeout            10s;

答案1

我不确定您是否能够设置 Nginx 以在建立 SSLv3 连接时记录详细错误。但您绝对可以将其配置为记录所有 SSL 或 TLS 连接，然后您可以解析 SSLv3 类型的连接。为了做到这一点，您需要在nginx 配置文件中的行'$ssl_protocol '中添加该选项。log_format

就我的情况而言，我有以下几行/etc/nginx/nginx.conf-

...
    log_format 主要'$remote_addr - $remote_user [$time_local] "$request" '
                      '$ssl_protocol'
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    访问日志 /var/log/nginx/access.log 主要；
...

如果我使用 curl 建立 SSLv3 连接 -

daniel@localhost$ curl -k --sslv3 https://todo.home.net/login.php
curl：（35）错误：14094410：SSL 例程：SSL3_READ_BYTES：sslv3 警报握手失败

我看到以下几行/var/log/nginx/access.log-

192.168.10.206 - - [26/4/2015:18:21:25 -0700] “GET HTTP/1.0” SSLv3 400 173 “-” “-” “-”
192.168.10.206 - - [26/Apr/2015:18:21:43 -0700] “GET HTTP/1.0 /login.php” SSLv3 400 173 “-” “-” “-”
192.168.10.206 - - [26/4月/2015:18:22:56 -0700] "-" SSLv3 400 0 "-" "-" "-"
192.168.10.206 - - [26/4月/2015:18:23:04 -0700] "-" SSLv3 400 0 "-" "-" "-"

如果在 Nginx 服务器上禁用 SSLv3，客户端会收到错误 -

而在服务器端，日志文件将包含协议版本和 HTTP 代码400，您可以使用这些信息来识别使用 SSLv3 的客户端。

相关内容