如何让Nginx快速支持TLS1.3协议详解

下面是“如何让Nginx快速支持TLS1.3协议”的完整攻略：

如何让Nginx快速支持TLS1.3协议

在Nginx 1.13.0版本中正式支持TLS1.3协议，采用TLS1.3可以提高安全性和传输性能，那么如何在Nginx中快速支持TLS1.3呢？

1. 安装Nginx 1.13.0及以上版本

TLS1.3在Nginx中的支持是从1.13.0版本开始的，因此需要先安装1.13.0及以上版本的Nginx。在Ubuntu系统中可以通过以下命令安装：

sudo apt install nginx

注意：在安装前需要先添加Nginx官方的PPA源。详细信息可以参考Nginx官方文档。

2. 配置Nginx支持TLS1.3协议

修改Nginx配置文件来启用TLS1.3协议。在server段中添加如下内容：

ssl_protocols TLSv1.2 TLSv1.3;

这个配置将启用TLS1.2和TLS1.3协议，如果你想只启用TLS1.3协议可以使用如下配置：

ssl_protocols TLSv1.3;

同时我们需要定义一些加密套件来保障通信的安全性。Nginx默认的TLS1.3加密套件为TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_AES_128_GCM_SHA256，我们可以使用如下配置（示例）：

ssl_ciphers "TLS13+AESGCM+AES256:TLS13+AESGCM+AES128:TLS13+AESCCM+AES256:TLS13+AESCCM+AES128:TLS13+CHACHA20+POLY1305+AES256:TLS13+CHACHA20+POLY1305+AES128";

注意：如果你使用的是老版本的openssl，建议升级openssl到1.1.1或以上版本，以免出现问题。在Ubuntu系统中可以使用以下命令升级openssl：

sh
sudo add-apt-repository ppa:ondrej/nginx-mainline
sudo apt install openssl1.1

注意：升级openssh后需要重新编译Nginx。

3. 重启Nginx服务

最后别忘了重启Nginx服务，让配置文件生效。

sudo systemctl restart nginx

示例说明

这里提供两个示例，一个是启用TLS1.2和TLS1.3协议，并启用如下加密套件：

ssl_ciphers "TLS13+AESGCM+AES256:TLS13+AESGCM+AES128:TLS13+AESCCM+AES256:TLS13+AESCCM+AES128:TLS13+CHACHA20+POLY1305+AES256:TLS13+CHACHA20+POLY1305+AES128";

另一个是只启用TLS1.3协议，并启用如下加密套件：

ssl_ciphers "TLS13+AESGCM+AES256:TLS13+AESGCM+AES128:TLS13+CHACHA20+POLY1305+AES256:TLS13+CHACHA20+POLY1305+AES128";

两个示例的区别在于只启用TLS1.3协议的示例没有启用TLS1.2协议，并且没有启用AESCCM加密套件。如果你的客户端只支持TLS1.3协议，那么可以选择只使用TLS1.3协议。如果你的客户端支持TLS1.2和TLS1.3协议，那么可以同时启用TLS1.2和TLS1.3协议。加密套件的选择需要根据实际情况做出选择，需要注意安全性和性能之间的平衡。