如何让nginx记录使用过的SSL / TLS协议和密码套件?

Modified on: Wed, 16 Oct 2019 04:00:02 +0800

我的目标是确保连接到我的nginx的客户端的正确安全性。我在我的nginx安装上关注Mozilla的正确配置TLS指南,但我没有概述实际使用的实际协议/密码套件。

我现在拥有的:

server {
    listen 443;
    ssl on;
    ssl_certificate /path/to/signed_cert_plus_intermediates;
    ssl_certificate_key /path/to/private_key;
    ssl_dhparam /path/to/dhparam.pem;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers 'the_long_ciphersuite_listed_there';
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:50m;
}

有了这个,我想记录哪个SSL协议用于连接,以及在客户端/服务器协商后选择了什么密码套件。 E.g:

10.1.2.3 - - [13/Aug/2014:12:34:56 +0200] "GET / HTTP/1.1" 200 1234 "-" "User agent bla"

10.1.2.3 - - [13/Aug/2014:12:34:56 +0200] ECDHE-RSA-AES128-GCM-SHA256 TLSv1.2 "GET / HTTP/1.1" 200 1234 "-" "User agent bla"

通过这种方式,我可以快速识别使用过时浏览器的客户端或不支持PFS或其他相关安全支持技术的自动化机器。

如何配置nginx以记录此信息?

作者:gertvdijk

最佳答案

$ssl_cipher添加到log_format配置中。

请参阅http://nginx.org/en/docs/http/所有与SSL相关的变量的ngx_http_ssl_module.html#variables

实施例

log_format上下文中定义自定义http(例如/etc/nginx/nginx.conf):

log_format combined_ssl '$remote_addr - $remote_user [$time_local] '
                        '$ssl_protocol/$ssl_cipher '
                        '"$request" $status $body_bytes_sent '
                        '"$http_referer" "$http_user_agent"';

以上内容基于默认的combined格式,附加'$ssl_protocol/$ssl_cipher '行。

然后使用自定义日志格式添加server上下文(启用SSL)access_log指令:

server {
  listen 443;
  ssl on;
  access_log /var/log/nginx/access.log combined_ssl;
  [...]
}

重新启动nginx后,日志显示如下:

10.1.2.3 - - [13/Aug/2014:12:34:56 +0200] TLSv1.2/ECDHE-RSA-AES128-GCM-SHA256 "GET / HTTP/1.1" 200 1234 "-" "User agent bla"

相关问答

添加新评论