Подготовлен выпуск основной ветки nginx 1.15.2, в рамках которой продолжается развитие новых возможностей (в параллельно поддерживаемой стабильной ветке 1.14 вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей).

Основные изменения:

• В модуле ngx_stream_ssl_preread реализована переменная $ssl_preread_protocol, которая определяет наибольшую версию протокола SSL/TLS, которую поддерживает клиент. Переменная позволяет создавать конфигурации для доступа с использованием различных протоколов с SSL и без SSL через один сетевой порт при проксировании трафика с использованием модулей http и stream. Например, для организации доступа по SSH через 443 порт (комбинирование SSH и HTTPS через один порт) можно использовать настройки:

  
     stream {
         upstream ssh {
             server 192.0.2.1:22;
         }
  
         upstream web {
             server 192.0.2.2:443;
         }
         # По умолчанию пробрасываем на SSH, но если определена версия SSL пробрасываем на HTTPS.
         map $ssl_preread_protocol $upstream {
             default ssh;
             "TLSv1.2" web;
         }
  
         # SSH и SSL на одном порту 
         server {
           listen 443;
           proxy_pass $upstream;
           ssl_preread on;
         }
     }
  

• При использовании директивы reset_timedout_connection при истечении таймаута соединения теперь закрываются с применением кода 444;
• SSL-ошибки "http request", "https proxy request", "unsupported protocol" и "version too low" теперь отображаются в логе с уровнем "info" вместо "crit";
• Устранена ошибка, из-за которой не выполнялась повторная отправка DNS-запросов, если первая отправка запроса завершилась неудачей;
• Исправлена ошибка, приводившая к игнорированию параметра reuseport при указании числа рабочих процессов после директивы listen;
• Устранена ошибка, из-за которой при использовании OpenSSL 1.1.0 невозможно было отключить параметр "ssl_prefer_server_ciphers" в контексте виртуального сервера, если он использовался в настройках сервера по умолчанию;
• Устранена ошибка, не позволявшая повторно использовать SSL-сеанс с upstream сервером при использовании протокола TLS 1.3.