JayMcTee's questions

上周我将一个繁忙的站点切换到 TLS-everywhere 和 HTTP/2。性能并没有像希望的那样提高。事实上，根据你测量它的方式，你可以说它已经退化了。

在操作系统级别的 TCP 调整、Web 堆栈中的 TLS 配置等方面，还有很大的空间可以进一步优化服务器。为了确保我不会忽略任何需要改进的地方，我在这里发布我的思路供其他人参考在。

目前，SSL conf 显示如下。各方控制着这方面的各种因素，我无法直接控制这一切。域名被审查。

$ openssl s_client -state -CAfile Documents/Thawte\ Server\ CA.cer -connect xxxxxx.tld:443
CONNECTED(00000003)
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
SSL_connect:SSLv3 read server hello A
depth=3 /C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
verify error:num=19:self signed certificate in certificate chain
verify return:0
SSL_connect:SSLv3 read server certificate A
SSL_connect:SSLv3 read server key exchange A
SSL_connect:SSLv3 read server done A
SSL_connect:SSLv3 write client key exchange A
SSL_connect:SSLv3 write change cipher spec A
SSL_connect:SSLv3 write finished A
SSL_connect:SSLv3 flush data
SSL_connect:SSLv3 read finished A
---
Certificate chain
 0 s:/C=xxx
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Organization Validation Secure Server CA
 1 s:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
   i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
 2 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
   i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
 3 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Organization Validation Secure Server CA
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIF1----shZZU
y1kFXCCRo78=
-----END CERTIFICATE-----
subject=/C=xxx
issuer=/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Organization Validation Secure Server CA
---
No client certificate CA names sent
---
SSL handshake has read 6240 bytes and written 328 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES128-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES128-SHA
    Session-ID: 09464B1CF8972B08267C33BF255FDA74216728E3599B24EAE02B13642C268483
    Session-ID-ctx: 
    Master-Key: ACC3529AC7C80162797397D4E3041D1720EE4BA6A8BA5D2C200F8B48ADD6960CA9E48D5FF975472A9E8B43B7023CA4E4
    Key-Arg   : None
    Start Time: 1457708322
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---
SSL3 alert read:warning:close notify
closed
SSL3 alert write:warning:close notify

我看到的问题：

验证错误：num=19：证书链中的自签名证书

我希望链尽可能短，以正确的顺序（不是根据 ssllabs.com），并且链中不需要自签名证书。编辑：我看到这实际上是 CA 根证书，它已经在浏览器的信任库中。无论如何，这应该被删除。

SSL_connect:SSLv3 读取服务器证书 SSL_connect:SSLv3 读取服务器密钥交换 SSL_connect:SSLv3 读取服务器完成 SSL_connect:SSLv3 写入客户端密钥交换 SSL_connect:SSLv3 写入更改密码规范 SSL_connect:SSLv3 写入完成 SSL_connect:SSLv3 刷新数据 SSL_connect :SSLv3 读完 A

这个握手序列对我来说似乎很长。我在其他配置上看到的来回次数更少。我的愿望是尽量减少往返。

证书链 0、1、2、3 - 由 4 个（Comodo）证书组成，超过 5.5Kb，因此可能不适合 TCP 拥塞窗口大小（尚未验证）。可能是额外往返的原因（？）。

也许值得切换到提供较短链的 CA。有什么建议么？

密码：DHE-RSA-AES128-SHA

弱 Diffie-Hellman 密码。SSLLabs 补充说：“使用常见的 DH 素数是的，如果可能，用自定义 DH 参数替换”

因此，我的问题是：

• 我可以通过哪些方式缩短证书链？
• 我可以通过哪些方式减少握手下载大小？
• 我可以通过哪些方式减少握手往返次数？
• 哪个 CA 提供比 Comodo 更短的链？
• 您在此输出中看到任何其他问题点吗？或者我还应该测试什么？
• 我们可以通过哪些方式优化 Ubuntu 上的 TCP 配置以最大化 TLS 性能/网络吞吐量？
• 为性能选择密码套件顺序的最佳方法是什么？我运行 $ openssl speed 但不确定如何解释和操作这些数据。

您的见解将不胜感激。

一个简单的 WordPress 静态站点完全在 https 上运行。

Nginx conf在这里： http: //pastebin.com/BrP0LThT

之前/之后的唯一区别是：

listen       443 ssl;
listen       443 ssl spdy;

带有 SSL 的 Nginx 1.8.0，没有 SPDY：

来自 transitions.js 文件的响应：

HTTP/1.1 200 OK
Server: nginx/1.8.0
Date: Sun, 28 Jun 2015 18:13:30 GMT
Content-Type: application/javascript
Last-Modified: Wed, 03 Dec 2014 14:19:08 GMT
Transfer-Encoding: chunked
Connection: keep-alive
Vary: Accept-Encoding
ETag: W/"547f1bdc-5267"
Expires: Sun, 12 Jul 2015 18:13:30 GMT
Cache-Control: max-age=1209600
Content-Encoding: gzip

相同的服务器设置，使用 SPDY：

来自同一 js 文件的响应：

HTTP/1.1 200
cache-control: max-age=1209600
content-encoding: gzip
content-type: application/javascript
date: Sun, 28 Jun 2015 18:24:49 GMT
etag: W/"547f1bdc-5267"
expires: Sun, 12 Jul 2015 18:24:49 GMT
last-modified: Wed, 03 Dec 2014 14:19:08 GMT
server: nginx/1.8.0

请注意，一旦启用 SPDY，这些文件的服务器响应会有很大不同。

加载所有内容的总时间几乎完全相同。

预计它会从一个相当对角的瀑布变成一个笔直的垂直水滴，充分发挥多路复用的作用。

但是这些 js、css 和图像资产上的所有 TTFB 绿条都增加到大约 280 毫秒，内容下载时间的蓝条从几乎没有，每个都超过 1 秒。

详细看这里：

这一切都太统一了，不可能是巧合。

iptables 不建议任何节流。除了启用 SPDY 之外，nginx conf 中也没有任何变化。因为它是 nginx 1.8.0，所以也不是 tcp_nodelay 错误。我的 conf 文件或防火墙中没有特殊的限制配置。keepalive_timeout 为 75，其他 keepalive 选项为默认值。

我应该去哪里看？我可以尝试什么？可能是什么问题？

由于带宽可能是一个问题，现在多达 28 个资产同时下载，这是带宽利用率图表。繁忙的 JS 下载发生在 0.7s 和 2s 之间。除非出现奇怪的下降，带宽确实会达到最大值（1.5Mbps），所以也许托管环境在这里也有一些影响。

我在 LEMP 堆栈上运行 SugarCRM，并使用 auth_basic 将其关闭。效果很好，标题显示：

WWW-Authenticate:
Basic realm="Username and Password are required"

SugarCRM 中的一些文件通过 PHP 有自己的内置 http auth，例如 ical_server.php，它显示在其标题中：

WWW-Authenticate:
Basic realm="SugarCRM iCal"
X-Dav-Powered-By:
PHP class: HTTP_WebDAV_Server_iCal

我试图绕过这个文件的 auth_basic，或者至少是我自己的领域，上面显示的第一个。

location = /ical_server.php {
       auth_basic "off";
}

但是，这会关闭这两个领域。换句话说，它会不加选择地完全关闭 auth_basic。

有没有办法选择性地关闭选择的 http 基本身份验证领域？Nginx 文档似乎暗示没有，如果这是真的，那么是否有另一种，也许是迂回的方式来实现这一点？

比如首先打开我的领域的正则表达式？

伪代码：

location != /ical_server.php {
auth_basic "Username and Password are required";
auth_basic_user_file /var/web/webaddress.tld/private/.htpasswd;

}

虽然我不认为负匹配是可能的。

有任何想法吗？

我已经努力理解 NginX 在位置订单处理中的逻辑，但它仍然超出了我的能力范围，我怀疑这就是我遇到以下问题的原因。

我运行一个 SugarCRM 实例，我已经用基本身份验证阻止了它。有一些文件，例如 ical_server.php 我想关闭基本身份验证，因此智能手机可以轻松访问这个订阅的日历，它已经拥有自己的基于令牌的安全性。

我在我的conf中有这个。但是 ical_server.php 被作为原始 php 下载，这表明它没有到达 fastcgi 解析器，即使 CRM 的其余部分工作得很好。

location /sugarcrm/ {
    auth_basic "Username and Password are required";
    auth_basic_user_file /var/web/webaddress.tld/private/.htpasswd;
    # pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
    #
    location ~ \.php$ {
            location ~ _server.php$ {
                    auth_basic "off";
            }
            try_files $uri =404;
            fastcgi_pass   127.0.0.1:9000;
            fastcgi_read_timeout 600;
            fastcgi_send_timeout 600;
            fastcgi_max_temp_file_size 0;
            fastcgi_buffer_size 56k;
            fastcgi_buffers 16 48k;
            fastcgi_index  index.php;
            fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;
            include        fastcgi_params;
    }
}

如何实现这种选择性关闭基本身份验证？