![nginx:如何记录 TLS 错误(如果不支持密码/协议)](https://linux22.com/image/656947/nginx%EF%BC%9A%E5%A6%82%E4%BD%95%E8%AE%B0%E5%BD%95%20TLS%20%E9%94%99%E8%AF%AF%EF%BC%88%E5%A6%82%E6%9E%9C%E4%B8%8D%E6%94%AF%E6%8C%81%E5%AF%86%E7%A0%81%2F%E5%8D%8F%E8%AE%AE%EF%BC%89.png)
我正在切换到 100% https。
服务器正在运行 nginx+libressl。
在转到 https:100% 之前,我想知道哪些客户端将无法再连接到我的网站。
例如,因为我不支持 SSL3。
我检查了 nginx 错误和访问日志,但是如果我尝试使用 SSL3 连接,其中没有一个包含有价值的信息。
我期望看到的内容:例如:
Client [IP]: Connection failed due to protocol/cipher mismatch.
然后我就可以 grep 访问/错误日志并查看有多少客户端无法再访问我的网站。
这可能吗?
当前的nginx.conf
:
user www-data www-data;
pid /run/nginx.pid;
worker_processes auto;
worker_rlimit_nofile 100000;
error_log /var/log/nginx/error.log;
events {
worker_connections 2048;
use epoll;
multi_accept on;
}
http {
server_tokens off;
autoindex off;
charset UTF-8;
include mime.types;
default_type application/octet-stream;
log_format main '$host - $remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
keepalive_timeout 10;
reset_timedout_connection on;
client_body_timeout 10;
send_timeout 10;
client_max_body_size 512k;
sendfile on;
tcp_nopush on;
tcp_nodelay on;
server {
listen 80;
server_name domain.com www.domain.com;
return 301 https://www.domain.com$request_uri;
}
server {
listen 443 ssl spdy;
server_name domain.com;
include conf.d/ssl.conf;
return 301 https://www.domain.com$request_uri;
}
server {
listen 443 ssl spdy;
server_name www.domain.com;
root /var/www/vhosts/domain.com/public_html;
include conf.d/ssl.conf;
default_type text/html;
location / {
return 200 'Hello World!';
}
}
}
conf.d/ssl.conf
:
ssl on;
ssl_dhparam ssl/dhparam4096.pem;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
ssl_buffer_size 1400;
spdy_headers_comp 6;
add_header Alternate-Protocol 443:npn-spdy/3;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers "AES256+EECDH:AES256+EDH";
ssl_prefer_server_ciphers on;
ssl_ecdh_curve secp384r1;
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
ssl_certificate ssl/public.crt;
ssl_certificate_key ssl/private.key;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate ssl/ca-certs.pem;
resolver 8.8.8.8 valid=300s;
resolver_timeout 10s;
答案1
我不确定您是否能够设置 Nginx 以在建立 SSLv3 连接时记录详细错误。但您绝对可以将其配置为记录所有 SSL 或 TLS 连接,然后您可以解析 SSLv3 类型的连接。为了做到这一点,您需要在nginx 配置文件中的行'$ssl_protocol '
中添加该选项。log_format
就我的情况而言,我有以下几行/etc/nginx/nginx.conf
-
... log_format 主要'$remote_addr - $remote_user [$time_local] "$request" ' '$ssl_protocol' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; 访问日志 /var/log/nginx/access.log 主要; ...
如果我使用 curl 建立 SSLv3 连接 -
daniel@localhost$ curl -k --sslv3 https://todo.home.net/login.php curl:(35)错误:14094410:SSL 例程:SSL3_READ_BYTES:sslv3 警报握手失败
我看到以下几行/var/log/nginx/access.log
-
192.168.10.206 - - [26/4/2015:18:21:25 -0700] “GET HTTP/1.0” SSLv3 400 173 “-” “-” “-” 192.168.10.206 - - [26/Apr/2015:18:21:43 -0700] “GET HTTP/1.0 /login.php” SSLv3 400 173 “-” “-” “-” 192.168.10.206 - - [26/4月/2015:18:22:56 -0700] "-" SSLv3 400 0 "-" "-" "-" 192.168.10.206 - - [26/4月/2015:18:23:04 -0700] "-" SSLv3 400 0 "-" "-" "-"
如果在 Nginx 服务器上禁用 SSLv3,客户端会收到错误 -
而在服务器端,日志文件将包含协议版本和 HTTP 代码400
,您可以使用这些信息来识别使用 SSLv3 的客户端。