Nginx 启用 BoringSSL的配置方法

更新时间：2018年03月20日 09:03:56 作者：南琴浪博客

这篇文章主要介绍了Nginx 启用 BoringSSL的配置方法,小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧

本文介绍以 BoringSSL 作为 Nginx 加密库的配置方法。

BoringSSL 是由谷歌从 Openssl 中抽出来后独立发展的作品，是 Google、Cloudflare 等大牌的御用。

BoringSSL 有优点也有缺点：优点是它原生提供加密算法等价组（具体我之后会写文章介绍）支持，并且对 tls1.3-draft23 支持较为不错；而缺点是不能在 Nginx 下启用 tls1.3 协议，且 BoringSSL 自身容易编译失败。

本文介绍使用 BoringSSL 替代 Openssl 作为 Nginx 加密库的方式。

BoringSSL

首先你需要把 BoringSSL 编译出来。建议编译所用主机配置 2G 及以上内存，因为 cmake 相当消耗内存。以下步骤可能比较多，请按顺序一步步执行：

# 建立一个目录，我们的工作都在这里进行
mkdir -p /home/nginx-installation && cd /home/nginx-installation

# 安装编译所需依赖
# BoringSSL 需要 Golang 支持
apt-get install -y build-essential make cmake golang

# 把 BoringSSL 源码克隆下来
git clone --dep 1 https://boringssl.googlesource.com/boringssl && cd boringssl

# 编译开始
mkdir -p /home/nginx-installation/boringssl/build /home/nginx-installation/boringssl/.openssl/lib /home/nginx-installation/boringssl/.openssl/include
ln -sf /home/nginx-installation/boringssl/include/openssl /home/nginx-installation/boringssl/.openssl/include/openssl
touch /home/nginx-installation/boringssl/.openssl/include/openssl/ssl.h
cmake -B/home/nginx-installation/boringssl/build -H/home/nginx-installation/boringssl
make -C /home/nginx-installation/boringssl/build
cp /home/nginx-installation/boringssl/build/crypto/libcrypto.a /home/nginx-installation/boringssl/build/ssl/libssl.a /home/nginx-installation/boringssl/.openssl/lib

以上步骤完成后，就先把 BoringSSL 编译完成了。接下来要用 --with-openssl 把它提供给 Nginx 使用。

Nginx

使用以下参数来编译 Nginx：

# 使用 --with-openssl 指定 BoringSSL 路径
# 这里并没有变成 "--with-boringssl"
./configure ... --with-openssl=/home/nginx-installation/boringssl

# 在 configure 后，要先 touch 一下，才能继续 make
touch /home/nginx-installation/boringssl/.openssl/include/openssl/ssl.h

make
make install

把 Nginx 编译出来后，查看参数你会看到：

sudo nginx -V

built by gcc 4.9.2 (Debian 4.9.2)
built with OpenSSL 1.1.0 (conpatible: BoringSSL) (running with BoringSSL)
TLS SNI support enabled

发现了吗？里面耀眼的 BoringSSL 字样。

Cipher Suite

虽说把 OpenSSL 换成了 BoringSSL，其实加密套件的写法还是差不多一样的。你可以这样写：

复制代码代码如下:

ssl_ciphers  'ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-CHACHA20-POLY1305 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-CHACHA20-POLY1305 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256';

当然，如果你想用上 BoringSSL 的等价组特性的话，可以改成这样：

复制代码代码如下:

ssl_ciphers  '[ECDHE-ECDSA-AES128-GCM-SHA256|ECDHE-ECDSA-CHACHA20-POLY1305|ECDHE-RSA-AES128-GCM-SHA256|ECDHE-RSA-CHACHA20-POLY1305] ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-SHA256';

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持脚本之家。

Nginx geoip模块实现地区性负载均衡
相信做过awstats的都用过开源的geoip.dat ip数据库，刚好nginx wiki上有geoip 模块，这样就可以实现地区性的负载均衡，但是maxmind 的ip数据库对中国的支持不算太好，不过现在也不错了~
2010-12-12
负载均衡下的webshell上传+nginx解析漏洞的过程
这篇文章主要介绍了负载均衡下的webshell上传+nginx解析漏洞,首先介绍了负载均衡下webshell上传的四大难点及环境搭建教程,感兴趣的朋友跟随小编一起看看吧
2024-02-02
详解Keepalived+Nginx实现高可用（HA）
这篇文章主要介绍了详解Keepalived+Nginx实现高可用（HA），小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
2018-06-06
Nginx实现分端口部署两个或多个项目的教程
这篇文章主要为大家详细介绍了Nginx实现分端口部署两个或多个项目的相关教程,其中包含了反向代理配置,感兴趣的小伙伴可以跟随小编一起学习一下
2023-10-10
Windows下Nginx安装配置教程
这篇文章主要为大家介绍了Windows下Nginx安装配置的详细教程，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
2017-03-03
WordPress中开启多站点支持及Nginx的重写规则配置
这篇文章主要介绍了WordPress中开启多站点支持及Nginx的重写规则配置方法,在同一个WordPress软件中开启的多个站点如果需要绑定不同域名的话也可以使用WordPress MU Domain Mapping插件,需要的朋友可以参考下
2016-03-03
Nginx实现自签名SSL证书生成与配置实现
本文主要介绍了Nginx实现自签名SSL证书生成与配置实现,文章将详细介绍生成自签名SSL证书的步骤,具有一定的参考价值,感兴趣的可以了解一下
2023-09-09
前端将项目部署到服务器(Nginx)的完整步骤
最近写了一个项目,需要进行手机上测试,下面就需要前端自己将项目进行部署,这篇文章主要给大家介绍了关于前端将项目部署到服务器(Nginx)的相关资料,文中通过图文介绍的非常详细,需要的朋友可以参考下
2023-01-01
浅谈Nginx七层反向代理和负载均衡
这篇文章主要介绍了浅谈Nginx七层反向代理和负载均衡，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
2018-07-07
Nginx配置文件详解
这篇文章主要介绍了Nginx配置文件详解，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
2020-08-08