如何使用Let's Encrypt和Nginx在SSL实验室测试中获得“此服务器更喜欢ChaCha20”的描述？

Question

我在"SSL Report: google.com"中找到了
(P) This server prefers ChaCha20 suites with clients that don't have AES-NI (e.g., Android devices)
我尝试将所有chacha20密码放在开头，但不起作用。
然后，我尝试像报告一样对密码进行排序，但它也不起作用。
如何对密码进行排序或配置Nginx以获得密码？

Answer 1

这可能是因为您使用的Nginx版本不支持这些密码。

Nginx使用在OpenSSL上实现的密码，而Chacha20仅在OpenSSL 1.0.2中实现，因此您安装的nginx版本很可能使用不支持这些密码的OpenSSL版本。例如，nginx-extras 1.10.3使用libssl1.0.0，因此它不支持Chacha20。

您可以安装支持新版OpenSSL的version的nginx，也可以手动构建nginx以包括这种支持，如this article所示。

Answer 2

使用boringssl编译nginx。
Boringssl有Equal preference cipher groups
如下设置密码即可。
ciphers [ECDHE-ECDSA-AES128-GCM-SHA256|ECDHE-ECDSA-CHACHA20-POLY1305]

Cloudflare CDN服务也可以做到这一点Cloudflare sslconfig