为 Nginx 添加 TLS 1.3 协议支持

　　TLS 1.3 协议已于 2018 年 8 月正式发表，原计划在 CentOS 8 发布以后，一并部署支持，但无奈呉真的 VPS 是基于 Xen 的版半虚拟化技术，暂时无法提供 CentOS 8 的模板。于是在 CentOS7 的基础上，重新编译 Nginx，以支持 TLS 1.3。

准备工作

　　TLS 1.3 要求的 OpenSSL 最低版本为 1.1.1，因此我们除了 Nginx 的源码外，还要准备 OpenSSL 1.1.1 的源码。

Nginx 源码：http://nginx.org/en/download.html
OpenSSL 源码：https://www.openssl.org/source/

# 预先定义Nginx及OpenSSL版本
NGINX_VERSION="nginx-1.17.4"
OPENSSL_VERSION="openssl-1.1.1d"

# 下载源码并解压
cd /usr/local/src
wget http://nginx.org/download/$NGINX_VERSION.tar.gz -O $NGINX_VERSION.tar.gz
wget https://www.openssl.org/source/$OPENSSL_VERSION.tar.gz -O $OPENSSL_VERSION.tar.gz
tar -xzvf $NGINX_VERSION.tar.gz
tar -xzvf $OPENSSL_VERSION.tar.gz
cd $NGINX_VERSION

编译 Nginx

　　Nginx 不同于 Apache，不需要重新编译 OpenSSL，只需要在编译 Nginx 时指定新版本 OpenSSL 源码路径。使用 nginx -V 命令，查看当前 Nginx 的编译参数。

nginx -V
> nginx version: nginx/1.17.4
> built by gcc 4.8.5 20150623 (Red Hat 4.8.5-36) (GCC)
> built with OpenSSL 1.0.2k-fips  26 Jan 2017
>TLS SNI support enabled
> configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie'

　　使用旧的编译参数配置新的 Nginx 编译参数。

1 2	./configure --with-openssl=../$OPENSSL_VERSION/ 你复制的当前编译参数 make

　　替换 Nginx 的可执行文件。

1
2
3

cd /usr/sbin
mv nginx nginx.bk
ln -s /usr/local/src/$NGINX_VERSION/objs/nginx nginx

　　修改 Nginx 配置文件，以开启 TLS 1.3 支持，并重启 Nginx。

1
2
3

# Mozilla Intermediate configuration
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;