web-dev-qa-db-ja.com

nginx：TLSエラーを記録する方法（サポートされていない暗号/プロトコルの場合）

100％httpsへの切り替えを進めています。
サーバーはnginx + libresslを実行しています。

Https：100％に進む前に、自分のサイトに接続できなくなるクライアントを確認したいと思います。
例えば。 SSL3はサポートしていないので。

Nginxのエラーとアクセスログを確認しましたが、SSL3で接続しようとした場合、貴重な情報は含まれていません。

私が見ると期待すること：例：

Client [IP]: Connection failed due to protocol/cipher mismatch.

その後、そのためにアクセス/エラーログをgrepして、自分のサイトにアクセスできなくなったクライアントの数を確認できます。

これは可能ですか？

電流 nginx.conf：

user                        www-data www-data;

pid                         /run/nginx.pid;

worker_processes            auto;
worker_rlimit_nofile        100000;

error_log                   /var/log/nginx/error.log;

events {
    worker_connections      2048;
    use                     epoll;
    multi_accept            on;
}

http {
    server_tokens           off;
    autoindex               off;
    charset                 UTF-8;

    include                 mime.types;
    default_type            application/octet-stream;

    log_format              main '$Host - $remote_addr - $remote_user [$time_local] "$request" '
                                 '$status $body_bytes_sent "$http_referer" '
                                 '"$http_user_agent" "$http_x_forwarded_for"';
    access_log              /var/log/nginx/access.log main;

    keepalive_timeout       10;

    reset_timedout_connection   on;
    client_body_timeout         10;
    send_timeout                10;

    client_max_body_size    512k;

    sendfile                on;
    tcp_nopush              on;
    tcp_nodelay             on;

    server {
        listen              80;
        server_name         domain.com www.domain.com;
        return              301 https://www.domain.com$request_uri;
    }

    server {
        listen              443 ssl spdy;
        server_name         domain.com;

        include             conf.d/ssl.conf;

        return              301 https://www.domain.com$request_uri;
    }

    server {
        listen              443 ssl spdy;
        server_name         www.domain.com;
        root                /var/www/vhosts/domain.com/public_html;

        include             conf.d/ssl.conf;

        default_type        text/html;

        location / {
            return 200 'Hello World!';
        }
    }
}

conf.d/ssl.conf：

ssl                         on;

ssl_dhparam                 ssl/dhparam4096.pem;

ssl_session_cache           shared:SSL:10m;
ssl_session_timeout         10m;
ssl_buffer_size             1400;
spdy_headers_comp           6;
add_header                  Alternate-Protocol 443:npn-spdy/3;

ssl_protocols               TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers                 "AES256+EECDH:AES256+EDH";
ssl_prefer_server_ciphers   on;
ssl_ecdh_curve              secp384r1;

add_header                  X-Frame-Options DENY;
add_header                  X-Content-Type-Options nosniff;
add_header                  Strict-Transport-Security "max-age=31536000; includeSubDomains";

ssl_certificate             ssl/public.crt;
ssl_certificate_key         ssl/private.key;

ssl_stapling                on;
ssl_stapling_verify         on;
ssl_trusted_certificate     ssl/ca-certs.pem;
resolver                    8.8.8.8 valid=300s;
resolver_timeout            10s;
nginxsslopenssltls
4
Florian Schneider

SSLv3接続が確立されたと言ったときに、詳細なエラーをログに記録するようにNginxを設定できるかどうかはわかりません。ただし、すべてのSSLまたはTLS接続をログに記録するように確実に構成してから、SSLv3タイプの接続を解析できます。そのためには、nginx構成ファイルの'$ssl_protocol '行にlog_formatオプションを追加する必要があります。

たとえば私の場合、/etc/nginx/nginx.confに次の行があります-

 ... 
 log_format main '$ remote_addr-$ remote_user [$ time_local] "$ request"' 
 '$ ssl_protocol' 
 '$ status $ body_bytes_sent " $ http_referer "'
'" $ http_user_agent "" $ http_x_forwarded_for "'; 
 
 access_log /var/log/nginx/access.log main; 
 .. 。

Curlを使用してSSLv3接続を行う場合-

 daniel @ localhost $ curl -k --sslv3 https://todo.home.net/login.php
curl：（35）error：14094410：SSL routines：SSL3_READ_BYTES：sslv3 alert handshake失敗

/var/log/nginx/access.logに次の行が表示されます-

 192.168.10.206--[26/Apr/2015：18：21：25 -0700] "GET HTTP/1.0" SSLv3 400 173 "-" "-" "-" 
 192.168。 10.206--[26/Apr/2015：18：21：43 -0700] "GET HTTP/1.0 /login.php" SSLv3 400 173 "-" "-" "-" 
 192.168.10.206-- [26/Apr/2015：18：22：56 -0700] "-" SSLv3 400 0 "-" "-" "-" 
 192.168.10.206--[26/Apr/2015：18：23 ：04 -0700] "-" SSLv3 400 0 "-" "-" "-"

NginxサーバーでSSLv3を無効にすると、クライアント側でエラーが発生します-

サーバー側では、ログファイルにプロトコルバージョンとHTTPコード400が含まれます。その情報を使用して、SSLv3を使用しているクライアントを識別できます。

1
Daniel t.