Module ngx_mail_ssl_module

• Example Configuration
• Directives
  • ssl
  • ssl_certificate
  • ssl_certificate_key
  • ssl_ciphers
  • ssl_client_certificate
  • ssl_crl
  • ssl_dhparam
  • ssl_ecdh_curve
  • ssl_password_file
  • ssl_prefer_server_ciphers
  • ssl_protocols
  • ssl_session_cache
  • ssl_session_ticket_key
  • ssl_session_tickets
  • ssl_session_timeout
  • ssl_trusted_certificate
  • ssl_verify_client
  • ssl_verify_depth
  • starttls
    

ngx_mail_ssl_module模块为邮件代理服务器使用 SSL/TLS 协议提供必要的支持。

默认情况下未构建此模块，应使用--with-mail_ssl_module配置参数启用它。

Example Configuration

为了减少处理器负载，建议

• 将worker processes的数量设置为等于处理器的数量，

• 启用shared会话缓存，

• 禁用built-in会话缓存，

• 并可能增加会话lifetime(默认情况下为 5 分钟)：

worker_processes auto;

mail {

    ...

    server {
        listen              993 ssl;

        ssl_protocols       TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers         AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5;
        ssl_certificate     /usr/local/nginx/conf/cert.pem;
        ssl_certificate_key /usr/local/nginx/conf/cert.key;
        ssl_session_cache   shared:SSL:10m;
        ssl_session_timeout 10m;

        ...
    }

Directives

该指令在版本 1.15.0 中已作废。应该改为使用listen指令的ssl参数。

使用给定服务器的 PEM 格式的证书指定file。如果除主要证书之外还应指定中间证书，则应按以下顺序在同一文件中指定它们：首先是主要证书，然后是中间证书。 PEM 格式的密钥可以放置在同一文件中。

从 1.11.0 版开始，可以多次指定此伪指令以加载不同类型的证书，例如 RSA 和 ECDSA：

server {
    listen              993 ssl;

    ssl_certificate     example.com.rsa.crt;
    ssl_certificate_key example.com.rsa.key;

    ssl_certificate     example.com.ecdsa.crt;
    ssl_certificate_key example.com.ecdsa.key;

    ...
}

可以指定值data：certificate而不是file(1.15.10)，后者无需使用中间文件即可加载证书。请注意，对此语法的不当使用可能会带来安全隐患，例如将密钥数据写入error log。

使用给定服务器的 PEM 格式的密钥指定file。

可以指定值engine：name：id而不是file(1.7.9)，后者从 OpenSSL 引擎name加载具有指定id的 Secret 密钥。

可以指定值data：key而不是file(1.15.10)，后者无需使用中间文件就可以加载密钥。请注意，对此语法的不当使用可能会带来安全隐患，例如将密钥数据写入error log。

指定启用的密码。密码以 OpenSSL 库可以理解的格式指定，例如：

ssl_ciphers ALL:!aNULL:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP;

可以使用“ openssl ciphers”命令查看完整列表。

该指令出现在 1.7.11 版本中。

使用用于verify客户端证书的 PEM 格式指定file具有受信任的 CA 证书。

证书列表将发送给客户端。如果不需要，可以使用ssl_trusted_certificate指令。

该指令出现在 1.7.11 版本中。

使用用于verify客户端证书的 PEM 格式指定file带有吊销证书(CRL)。

该指令出现在版本 0.7.2 中。

为 DHE 密码指定一个带有 DH 参数的file。

默认情况下，未设置任何参数，因此将不使用 DHE 密码。

该指令出现在 1.1.0 和 1.0.6 版本中。

为 ECDHE 密码指定curve。

使用 OpenSSL 1.0.2 或更高版本时，可以指定多条曲线(1.11.0)，例如：

ssl_ecdh_curve prime256v1:secp384r1;

特殊值auto(1.11.0)指示 nginx 在使用 OpenSSL 1.0.2 或更高版本或prime256v1(对于较旧的版本)时使用 OpenSSL 库中内置的列表。

该指令出现在版本 1.7.3 中。

指定一个带有secret keys密码短语的file，其中每个密码短语都在单独的行上指定。加载密钥时依次尝试使用密码短语。

Example:

mail {
    ssl_password_file /etc/keys/global.pass;
    ...

    server {
        server_name mail1.example.com;
        ssl_certificate_key /etc/keys/first.key;
    }

    server {
        server_name mail2.example.com;

        # named pipe can also be used instead of a file
        ssl_password_file /etc/keys/fifo;
        ssl_certificate_key /etc/keys/second.key;
    }
}

指定当使用 SSLv3 和 TLS 协议时，服务器密码应优先于客户端密码。

启用指定的协议。

设置存储会话参数的缓存的类型和大小。高速缓存可以是以下任何类型：

• off

  • 严格禁止使用会话缓存：nginx 明确告知客户端不得重复使用会话。

• none

  • 禁止使用会话缓存：nginx 告诉客户端会话可以被重用，但实际上并没有在缓存中存储会话参数。

builtin

• 内置 OpenSSL 的缓存；仅由一个工作进程使用。缓存大小在会话中指定。如果未指定大小，则等于 20480 个会话。使用内置缓存可能会导致内存碎片。

shared

• 所有工作进程之间共享的缓存。缓存大小以字节为单位；一兆字节可以存储大约 4000 个会话。每个共享缓存应具有任意名称。具有相同名称的缓存可以在多个服务器中使用。

两种缓存类型可以同时使用，例如：

ssl_session_cache builtin:1000 shared:SSL:10m;

但仅使用共享缓存而不使用内置缓存应该会更有效率。

该指令出现在 1.5.7 版中。

设置带有用于加密和解密 TLS 会话票证的密钥的file。如果必须在多个服务器之间共享同一密钥，则该指令是必需的。默认情况下，使用随机生成的密钥。

如果指定了多个密钥，则仅第一个密钥用于加密 TLS 会话票证。这允许配置键旋转，例如：

ssl_session_ticket_key current.key;
ssl_session_ticket_key previous.key;

file必须包含 80 或 48 个字节的随机数据，并且可以使用以下命令创建：

openssl rand 80 > ticket.key

根据文件大小，使用 AES256(对于 80 字节密钥为 1.11.8)或 AES128(对于 48 字节密钥)进行加密。

该指令出现在 1.5.9 版中。

通过TLS 会话票启用或禁用会话恢复。

指定客户端可以重用会话参数的时间。

该指令出现在 1.7.11 版本中。

使用用于verify客户端证书的 PEM 格式指定file具有受信任的 CA 证书。

与ssl_client_certificate设置的证书相反，这些证书的列表不会发送给客户端。

该指令出现在 1.7.11 版本中。

启用客户端证书的验证。验证结果在authentication请求的“ Auth-SSL-Verify”Headers 中传递。

optional参数请求客户端证书，并验证该证书是否存在。

optional_no_ca参数请求客户端证书，但不需要由受信任的 CA 证书对其进行签名。这用于在 nginx 外部的服务执行实际证书验证的情况下使用。可通过对验证服务器的请求sent访问证书的内容。

该指令出现在 1.7.11 版本中。

设置客户端证书链中的验证深度。

• on

  • 允许对 POP3 使用STLS命令，对 IMAP 和 SMTP 使用STARTTLS命令；

• off

  • 拒绝使用STLS和STARTTLS命令；

• only

  • 需要进行初步的 TLS 转换。