Nginx ssl_protocols Direktifi

Nginx, kabul edilen TLS sürümlerini ssl_protocols yönergesiyle belirler. Yönerge http, server bağlamlarında kullanılabilir ve boşlukla ayrılmış sürüm adlarını alır.

Önerilen ayar

ssl_protocols TLSv1.2 TLSv1.3;

Geçerli sürüm adları SSLv2 SSLv3 TLSv1 TLSv1.1 TLSv1.2 TLSv1.3 biçimindedir. TLSv1.3 için Nginx 1.13.0 veya üstü ve OpenSSL 1.1.1 ya da daha yeni bir sürümle derlenmiş olması gerekir. Yeni Nginx sürümlerinde varsayılan değer zaten TLS 1.2 ve 1.3'tür; yine de açıkça yazmak, sürüm yükseltmelerinde sürprizi önler.

Nerede tanımlanmalı?

• http bloğunda bir kez yazarsanız tüm sunucular miras alır.
• Aynı IP:port üzerindeki birden çok sunucuda, protokol ayarı el sıkışmada çoğunlukla varsayılan sunucuya göre uygulanır. Bu yüzden listen 443 ssl default_server; olan bloğu doğru yapılandırın.

Tam örnek

http {
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers off;
    ssl_session_cache shared:SSL:10m;

    server {
        listen 443 ssl;
        server_name example.com;
        ssl_certificate     /etc/ssl/example/fullchain.pem;
        ssl_certificate_key /etc/ssl/example/example.key;
    }
}

Uygulama

1. nginx -t ile sözdizimini sınayın.
2. systemctl reload nginx ile yeniden yükleyin.
3. openssl s_client -connect example.com:443 -tls1_2 başarılı, -tls1_1 başarısız olmalı.

Sık sorunlar

• "invalid value TLSv1.3": Nginx veya OpenSSL sürümü TLS 1.3'ü desteklemiyor; paketleri güncelleyin.
• Ayar etkisiz görünüyor: İstek başka bir sunucu bloğu veya başka bir yapılandırma dosyası tarafından karşılanıyordur; nginx -T ile birleşik yapılandırmayı inceleyin.
• Eski istemci bağlanamıyor: Eski cihazlar TLS 1.2 desteklemeyebilir; ihtiyaç analizini erişim günlüğüyle yapın.

İleri gizlilik ve cipher sırası

Protokol sürümünü daraltmak tek başına yeterli değildir. TLS 1.3 şifre paketlerini otomatik belirler; TLS 1.2 için ssl_ciphers ile ECDHE tabanlı, AEAD (GCM veya ChaCha20) paketleri öne çıkarın. Modern yapılandırma üreticileri ve resmi önerilerden yararlanıp, değişikliği istemci uyumluluğu açısından test edin.

Sonuçları SSL kontrol aracıyla doğrulayın; sertifika almak için SSL sertifikaları sayfasına bakın.