Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Новая версия nginx 1.29.1. Представлен модуль ngx_http_acme"	+/–
Сообщение от opennews (??), 14-Авг-25, 08:45
Опубликован выпуск основной ветки nginx 1.29.1, в  которой продолжается развитие новых возможностей. В параллельно поддерживаемую стабильную ветку 1.28.x вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В дальнейшем на базе основной ветки 1.29.x будет сформирована стабильная ветка 1.30. Код проекта написан на языке Си и распространяется под лицензией BSD... Подробнее: https://www.opennet.me/opennews/art.shtml?num=63725
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 14-Авг-25, 08:45	–8 +/–
> автоматизации запроса, получения и обновления сертификатов Уже слишком поздно. В современных серверах такой функционал был годами, и вряд ли щас все кинутся обратно в нгинкс, лишь потому что он наконец проявил какие-то редкие признаки современности. Нгинкс всё.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #18, #19, #34, #71

2. Сообщение от анон (?), 14-Авг-25, 08:48	–5 +/–
А какие есть плюсы у nginx в настоящее время? Раньше-то понятно, если сравнивать с апачем
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4, #14, #49

4. Сообщение от Аноним (4), 14-Авг-25, 09:00	–2 +/–
Плюсы у nginx сейчас такие же, как и раньше: тянет тысячи и тысячи запросов в секунду, при этом PHP не падает, а вот на apache очень даже падает. Делал высоканагруженные приложения на PHP и мне еще ни разу удалось нормально завести свою разработку на apche, а вот на nginx все без проблем работает, т. е. это все личный опыт. P. S. И вот не надо мне тут, что я не умею настраивать apche, все я умею, в свое время все конфиги и все нюансы изучил пытаясь подкрутить его.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #7, #15, #32, #52

7. Сообщение от Tron is Whistling (?), 14-Авг-25, 09:15	+7 +/–
У нгинха внезапно нет php, есть только интерфейс к fpm. На апаче тоже можно mpm_event завести и дальше mod_proxy к fpm, в итоге будет не сильно нагруженнее нгинха. И да, ты действительно не умеешь крутить апач.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #12

12. Сообщение от Аноним (12), 14-Авг-25, 09:49	+/–
Почему, есть, называется nginx unit, только это совсем другой продукт. Кстати довольно неплохой.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

14. Сообщение от User (??), 14-Авг-25, 10:23	+/–
Нуээээ... некоторые админы (думают, что) его знают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

15. Сообщение от User (??), 14-Авг-25, 10:24	–2 +/–
Нафига тебе тысячи и тысячи запросов index.html с диска? Или ты про robots.txt?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

16. Сообщение от пох. (?), 14-Авг-25, 11:05    Скрыто ботом-модератором	+2 +/–
уря, теперь F5 копипастит код из agnie. (но что-то как-то медленно получается - "предварительная версия" того что сто лет как работает) не то чтобы этот модуль конечно уже был кому-то сильно нужен...
Ответить | Правка | Наверх | Cообщить модератору

17. Сообщение от freehck (ok), 14-Авг-25, 11:08	+/–
> предварительный выпуск модуля ngx_http_acme это конечно всё очень интересно, но во-первых там всего лишь http-челлендж поддерживается, а dns-челлендж в большинстве случаев куда удобнее, а во-вторых, как они себе представляют дальнейшее добавление dns-челленджей без ущерба безопасности nginx-а? Всё-таки подобные вещи лучше держать за пределами веб-сервера.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #74

18. Сообщение от Аноним (18), 14-Авг-25, 11:14	+2 +/–
>Нгинкс всё. Ты сказал?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

19. Сообщение от Cyd (?), 14-Авг-25, 11:31	+/–
а чем, кстати, в этом сезоне модно раздавать статику и дергать бэкенды?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #21, #50

20. Сообщение от пох. (?), 14-Авг-25, 11:33	+1 +/–
как ты себе представляешь dns-01 в веб-сервере? > а dns-челлендж в большинстве случаев куда удобнее в большинстве случаев он совершенно излишен. Необходимо и достаточно для 99% сайтов-однодневок автоматически получить совершенно им ненужный сертификат и так же автоматически его обновить через пол-дня согласно новым улучшенным требованиям. И всьо. А для обработки платежей неплохо бы хранить ключи не в /tmp с правами 666, для начала. И может быть даже, о ужас, зашифрованными и с ручной разблокировкой. Хотя, конечно, на самом деле все равно свалят в /tmp и сделают "ЧМОД" а потом еще в гитляп и шитхап закомитят для надежности. А тогда нафига было стараться и с основным сайтом-то?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #22, #25, #45, #53

21. Сообщение от пох. (?), 14-Авг-25, 11:34	+2 +/–
в этом сезоне немодно статику. Жизненно необходимо favicon.ico хранить в amazon s3!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #23, #46

22. Сообщение от Аноним (22), 14-Авг-25, 11:46	+/–
dns-01 в веб-сервере можно сделать, дергая API dns-сервера (ограничившись dns-серверами, где API есть). Тут бы вполне пригодился njs, чтобы не писать плагины на C/Rust под каждый API.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #28

23. Сообщение от 12yoexpert (ok), 14-Авг-25, 11:46	+1 +/–
на этой неделе прячут за клаудфларью
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

25. Сообщение от Tron is Whistling (?), 14-Авг-25, 11:53	+/–
> как ты себе представляешь dns-01 в веб-сервере? Да элементарно, можно таки dynamic update подёргать. Тот же вайлдкард без dns-01 не выпихать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #27

27. Сообщение от пох. (?), 14-Авг-25, 12:27	+/–
> Да элементарно, можно таки dynamic update подёргать. я бы предпочел чтобы веб-сервер таки не имел доступа ни к каким dynamic updates. И вот особенно - основного домена самого веб-сервера (авторам идеи надо было бы кол в бошку вбить за то что они не додумались выделить субдомен для своих игрищ и еще и запихали запрещенный символ в имя записи) > Тот же вайлдкард без dns-01 не выпихать. тот же вайлдкард низачем и не нужен при автоматизированном получении стольких сертификатов сколько душа жаждет. Он был нужен прежде всего чтобы сэкономить усилия (и еще немножечко вредить). А машина - она железная.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #37, #41, #44, #48

28. Сообщение от пох. (?), 14-Авг-25, 12:27	+/–
если у тебя есть доступ к этому апи у веб-мордочки - у тебя уже все плохо.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #30, #39, #60

30. Сообщение от Аноним (30), 14-Авг-25, 13:12	+/–
многие думают, что апи существует для того, чтобы дергать его из любого места :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #33

32. Сообщение от Аноним (32), 14-Авг-25, 13:13	+/–
https://www.netcraft.com/blog/july-2025-web-server-survey
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #40

33. Сообщение от пох. (?), 14-Авг-25, 13:13	+/–
> многие думают, что апи существует для того, чтобы дергать его из любого > места :) оно потом _оказывается_ что так и есть ;-)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #35

34. Сообщение от bergentroll (ok), 14-Авг-25, 13:19	+1 +/–
Современные сервера́ — это какие?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

35. Сообщение от Аноним (30), 14-Авг-25, 14:16	+/–
> оно потом _оказывается_ что так и есть ;-) для публичных апи может и быть, менеджмент апи - нет, сугубо приватное (изолированное от несанкционированного доступа).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

37. Сообщение от Tron is Whistling (?), 14-Авг-25, 14:43	+/–
Ды ладно, why not. Разрешить вот конкретный _acme_challenge TXT подёргать - невелика беда. Тем более, что это не в контексте пользователя в том же апаче будет дёргаться, а в контексте основного процесса. > тот же вайлдкард низачем и не нужен при автоматизированном получении стольких сертификатов Сейчас если лучшая идиотская идея в виде срока жизни в 30 дней пройдёт - уже будет нужен...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #38, #63

38. Сообщение от Tron is Whistling (?), 14-Авг-25, 14:44	+/–
// в менее 30 дней
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

39. Сообщение от Tron is Whistling (?), 14-Авг-25, 14:46	+/–
А там не надо доступ к апи у веб-мордочки. Там надо доступ у основного процесса мордочки, юзеры в него не смотрят. Ну и даже если проломится до рута - а чего оно кроме единственного TXT подёргает-то... Мне больше нравится само наличие ключей от ACME в контексте вёб-мордочки, поэтому я эти механизмы не использую вообще, генерацией сертификатов занимается совершенно отдельный сервис, который как раз DNS может подёргать, и уже потом их апдейтит в вебню.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #42

40. Сообщение от Tron is Whistling (?), 14-Авг-25, 14:48	+/–
Судя по тому, как там отхер растёт, статистика уже не отражает действительности, те же апачи и т.п. просто не афишируют себя или находятся за балансерами, скрывающими инфру.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #64

41. Сообщение от Аноним (30), 14-Авг-25, 14:50	+/–
> я бы предпочел чтобы я помню времена когда бинд (нейм сервер) и апач на одном сервере крутились :)))))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #62

42. Сообщение от Аноним (30), 14-Авг-25, 14:52	+1 +/–
> занимается совершенно отдельный сервис разделение труда :) эй нджинкс, завари ка чаю
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

44. Сообщение от freehck (ok), 14-Авг-25, 15:38	+1 +/–
> тот же вайлдкард низачем и не нужен при автоматизированном получении стольких сертификатов сколько душа жаждет Ровно до тех пор, пока ты не захочешь, чтобы домен не светился в логах Certificate Transparency.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

45. Сообщение от freehck (ok), 14-Авг-25, 16:05	+1 +/–
>> а dns-челлендж в большинстве случаев куда удобнее > в большинстве случаев он совершенно излишен... ...там, где работает полтора землекопа. А что, если у тебя домен для приватной сети, и торчать в мир он в принципе не должен? А что, если ты хочешь выставить в мир домен, но ты не хочешь, чтобы мир об этом домене узнал? А что, если тебе нужно выписать сертификат в kubernetes, ingress-контроллер которого находится за балансером с proxy-protocol-ом? (см. [1]) Чтобы не страдать в описанных выше случаях -- возьмите себе на вооружение сразу и для всего использовать DNS-01. [1] https://github.com/compumike/hairpin-proxy?tab=readme-ov-fil...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #61

46. Сообщение от Аноним (46), 14-Авг-25, 16:29	–1 +/–
А где ж ещё его хранить? На железном сервере с линуксом и сабжем? Ух, сейчас бы статические ресурсы не через cdn раздавать. Вам что, реально так нравится сервера админить?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

48. Сообщение от penetrator (?), 14-Авг-25, 16:53	+/–
да да вайлдкард не нужен, зато теперь нужен SNI усилия, бугага
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #69

49. Сообщение от freehck (ok), 14-Авг-25, 17:01	–1 +/–
> А какие есть плюсы у nginx в настоящее время? Я бы сказал так: какие бы плюсы ни были у альтернативных решений, им всем сопутствует потеря производительности на 20-40% относительно nginx.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

50. Сообщение от freehck (ok), 14-Авг-25, 17:10	+/–
> а чем, кстати, в этом сезоне модно раздавать статику и дергать бэкенды? Астрологи объявили неделю моды на раздачу статики через NodeJS: NodeJS -- даёшь по ядру на каждые 10 rps!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

52. Сообщение от Zeke Fast (?), 14-Авг-25, 18:06	–2 +/–
PHP и высоконагруженное приложение уже смешно звучит! :) 2006-2010 ещё прошло бы, но не в 2025!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #57

53. Сообщение от Аноним (53), 14-Авг-25, 18:18	+/–
>как ты себе представляешь dns-01 в веб-сервере? Я другой аноним, но отвечу на вопрос. Представляю его: - либо [через встроенный DNS-сервер](https://angie.software/angie/docs/configuration/acme/#angie-...), - либо через [хук](https://angie.software/angie/docs/configuration/modules/http...), например, к acme.sh - либо через [обращение по API к DNS-провайдеру](https://doc.traefik.io/traefik/https/acme/#providers)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #59

57. Сообщение от Аноним (-), 14-Авг-25, 19:38	+/–
что смешного? такто сейчас бэк нередко на питонах всяких вообще а он на порядок медленней современного php
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

59. Сообщение от пох. (?), 14-Авг-25, 20:59	+/–
то есть надо "встраивать" в веб-сервер еще целый dns сервер и обеспечивать ему открытую дверь во весь интернет? Со всем набором адских днсных проблем. (причем рецепт от agnie, как я подозреваю, кривой. В in ns работает то же ограничение что и в in a - я об этом упоминал в исходном сообщении, что это факап авторов нескучного акме) acme.sh тебе проще по крону запустить без ненужных хуков - и с гарантией что запустится acme.sh а не подсунутое васяном троянское нечто. > либо через [обращение по API к DNS-провайдеру] то есть мы даем вебсерверку доступ к нашему dns. Здорово, что может пойти не так?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #67

60. Сообщение от Аноним (60), 14-Авг-25, 21:04	+/–
есть такая штука, как разные права доступа для разных api keys
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

61. Сообщение от пох. (?), 14-Авг-25, 21:05	+/–
>>> а dns-челлендж в большинстве случаев куда удобнее >> в большинстве случаев он совершенно излишен... > ...там, где работает полтора землекопа. > А что, если у тебя домен для приватной сети, и торчать в > мир он в принципе не должен? а днс для этой приватной сети мы гордо выснуем в мир, что может пойти не так, действительно? (и зачем такому домену сертификаты летшиткрипта? У таких сетей есть обычно свои pki, может даже не одна. Там еще и сертификаты на приватные ip адреса иногда нужны.) > А что, если ты хочешь выставить в мир домен, но ты не > хочешь, чтобы мир об этом домене узнал? и тут такой dns-сервачок встроенный прям в вебмордочку... > Чтобы не страдать в описанных выше случаях -- возьмите себе на вооружение > сразу и для всего использовать DNS-01. нет, спасибо. Я как раз категорически воздержусь от его использования где бы то ни было. acme дыряв бай дизайн в ста местах, но ЭТО делает его еще в разы дырявее. В тех случаях (редких, и тебе не понравится для чего) где мне нужен wildcard, он будет коммерческий, благо пока доступен, и, к счастью, пока его не надо обновлять раз в три дня.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #65, #68

62. Сообщение от пох. (?), 14-Авг-25, 21:08	+/–
>> я бы предпочел чтобы > я помню времена когда бинд (нейм сервер) и апач на одном сервере > крутились :))))) только вот крутились они так что доступов у одного к другому не было. (они и сейчас там у тебя крутятся, только под капотом модных-современных-кластерных-контейнерных тяп-ляпнологий ты об этом узнаешь когда-нибудь после)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #66

63. Сообщение от пох. (?), 14-Авг-25, 21:13	+/–
> Ды ладно, why not. Разрешить вот конкретный _acme_challenge TXT подёргать А потом выяснится что где-то ошипка... Или подергать могут что-то не то, или подергать может не тот, или оба сразу. > Сейчас если лучшая идиотская идея в виде срока жизни в 30 дней > пройдёт - уже будет нужен... наоборот, поскольку придется отказываться от неавтоматических обновлений и надежных ключей - низачем станет не нужен. Раз уж оно все внутри и под контролем самого веб-сервера - то пусть на каждый домен получает, включая никому ненужные редиректилки ru.www.com -> www.com/ru Инфры этих троянских коней совсем ведь не жаль.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

64. Сообщение от пох. (?), 14-Авг-25, 21:23	+/–
> Судя по тому, как там отхер растёт, статистика уже не отражает действительности, > те же апачи и т.п. просто не афишируют себя или находятся > за балансерами, скрывающими инфру. это ты щас про к@лофайр или кого импортозамещенного? А то балансеры в виде модных молодежных аплайансов обычно хороши корпоративную хрень какую прятать. А под нагрузкой их самих прятать приходится, а то вот... лопнуло и забрызгало меня и товарищей прессу. Ну и зачем нам кузнец в таком раскладе - тоже не очень понятно. Нода жеес сама себе хетететепе 2.0 модный сервер. Ну с некоторыми недостатками, но за тремя слоями прокси их видно не будет. Т.е. вполне можешь учесть то что торчит таки наружу (не ноду же ж считать) именно вебсервером. отхeр так отхeр...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

65. Сообщение от freehck (ok), 14-Авг-25, 21:25	+/–
Какой-то сервачок в вебмордочку поставить, собственный PKI намутить... Не, чур меня с этим спорить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

66. Сообщение от Аноним (30), 14-Авг-25, 21:34	+/–
> ты об этом узнаешь когда-нибудь после чур меня чур, не дожить бы до этого дня
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

67. Сообщение от Аноним (30), 14-Авг-25, 21:39	+/–
> то есть мы даем вебсерверку доступ к нашему dns. Здорово, что может пойти не так? если собственный нейм сервер (отдельный) с одной зоной, то разницы нет ломанули веб сервер или днс сервер (условно, банальный сайт), так что доступ еще можно дать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

68. Сообщение от Аноним (60), 15-Авг-25, 00:38	+/–
ну, в том редком случае (публичный хостинг) я написал на golang сервис, который через внутреннее апи powerdns-а кроме как этот самый acme challenge TXT менять, ничего и не умеет, и его и дергал из... кажется, это был acme.sh по большому счету, оба способа кривые (для dns-01 можно было бы какой-нибудь _acme делегировать на отдельные нсы, а http-01 это вечные проблемы курица vs яйцо), но лучше так, чем ручками ходить платить за сертифицированный воздух
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #70

69. Сообщение от пох. (?), 15-Авг-25, 00:58	+/–
> да да вайлдкард не нужен, зато теперь нужен SNI так он в любом случае теперь нужен
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #73

70. Сообщение от пох. (?), 15-Авг-25, 01:00	+/–
> ну, в том редком случае (публичный хостинг) я написал на golang сервис, > который через внутреннее апи powerdns-а кроме как этот самый acme challenge ну да, он же у тебя никак не был связан с веб-сервером. А тут прямо в код сервера пихают и считают что так и нада. > по большому счету, оба способа кривые увы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

71. Сообщение от Словарь (?), 15-Авг-25, 01:36	+/–
ФУНКЦИОНАЛ - математическое понятие, возникшее в вариационном исчислении для обозначения переменной величины, заданной на множестве функций, т. е. зависящей от выбора одной или нескольких функций. Напр., длина дуги кривой, соединяющей две фиксированные точки, будет функционалом, т. к. величина длины дуги зависит от выбора функции, график которой соединяет эти точки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #72

72. Сообщение от Аноним (1), 15-Авг-25, 02:37	+/–
функционал: 3. неол., комп. жарг., собир. то же, что функциональность; набор функций, возможностей, предоставляемых компьютерной программой, библиотекой функций и т. п. ◆ Первоначально эти системы создавались для предприятий, которые традиционно ведут производственную, финансовую, реже научную деятельность. В их базовом функционале отсутствуют модули, автоматизирующие основные виды деятельности вуза, связанные с образовательным процессом. «Информационная система обеспечения организационной деятельности динамично развивающегося университета», 2003 г. // «Информационные технологии» [НКРЯ]
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

73. Сообщение от penetrator (?), 15-Авг-25, 04:07	+/–
>> да да вайлдкард не нужен, зато теперь нужен SNI > так он в любом случае теперь нужен нахрена он сдался
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

74. Сообщение от Аноним (74), 15-Авг-25, 05:04	+/–
dns-челлендж есть в российском форке Angie, с которого собственно и содран этот модуль. Причем там он написан на Си, как и все остальные.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема