Nginx官方文档(十八)【ngx_http_geoip_module|ngx_http_grpc_module】

ゝ一世哀愁。 2021-07-04 19:40 430阅读 0赞

# ngx\_http\_geoip\_module #

*  示例配置
 *  指令
    
     *  geoip\_country
     *  geoip\_city
     *  geoip\_org
     *  geoip\_proxy
     *  geoip\_proxy\_recursive

`ngx_http_geoip_module` 模块（0.8.6+）使用预编译的 [MaxMind][] 数据库，其创建带值的变量依赖客户端 IP 地址。

当使用支持 IPv6 的数据库时（1.3.12、1.2.7），IPv4 地址将被视为 IPv4 映射的 IPv6 地址。

此模块不是默认构建的，可以使用 `--with-http_geoip_module` 配置参数启用。

> 该模块需要 [MaxMind GeoIP][] 库。

## 示例配置 ##

http {
        geoip_country         GeoIP.dat;
        geoip_city            GeoLiteCity.dat;
        geoip_proxy           192.168.100.0/24;
        geoip_proxy           2001:0db8::/32;
        geoip_proxy_recursive on;
        ...

## 指令 ##

### geoip\_country ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>geoip_country</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http</td> 
  </tr> 
 </tbody> 
</table>

指定一个用于根据客户端 IP 地址确定国家的数据库。使用此数据库时，以下变量可用：

*  `$geoip_country_code`
    
    双字母国家代码，例如 `RU`、`US`
 *  `$geoip_country_code3`
    
    三个字母的国家代码，例如 `RUS`、`USA`
 *  `$geoip_country_name`
    
    国家名称，例如 `Russian Federation`、`United States`

### geoip\_city ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>geoip_city</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http</td> 
  </tr> 
 </tbody> 
</table>

指定一个用于根据客户端 IP 地址确定国家、地区和城市的数据库。使用此数据库时，以下变量可用：

*  `$geoip_area_code`
    
    电话区号（仅限美国）
    
    > 由于相应的数据库字段已弃用，因此此变量可能包含过时的信息
 *  `$geoip_city_continent_code`
    
    双字母的大陆码，例如 `EU`、`NA`
 *  `$geoip_city_country_code`
    
    双字母国家代码，例如 `RU`、`US`
 *  `$geoip_city_country_code3`
    
    三个字母的国家代码，例如 `RUS`、`USA`
 *  `$geoip_city_country_name`
    
    国家名称，例如 `Russian Federation`、`United States`
 *  `$geoip_dma_code`
    
    美国的 DMA 地区代码（也称为**城市代码**），根据 Google AdWords API 中的[地理位置定位][Link 1]
 *  `$geoip_latitude`
    
    纬度
 *  `$geoip_longitude`
    
    经度
 *  `$geoip_region`
    
    双符号国家地区代码（地区、领土、州、省、联邦土地等），例如 `48`、`DC`
 *  `$geoip_region_name`
    
    国家地区名称（地区，领土，州，省，联邦土地等），例如 `Moscow City`、`District of Columbia`
 *  `$geoip_city`
    
    城市名称，例如 `Moscow`、`Washington`
 *  `$geoip_postal_code`
    
    邮政编码

### geoip\_org ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>geoip_org</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>提示</strong></td> 
   <td>该指令在 1.0.3 版本中出现</td> 
  </tr> 
 </tbody> 
</table>

指定用于根据客户端 IP 地址确定组织的数据库。使用此数据库时，以下变量可用：

*  `$geoip_org`
    
    组织名称，例如 `The University of Melbourne`

### geoip\_proxy ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>geoip_proxy</strong> <code>address</code> | <code>CIDR</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>提示</strong></td> 
   <td>该指令在 1.3.0 版本和 1.2.1. 版本中出现</td> 
  </tr> 
 </tbody> 
</table>

定义可信地址。当请求来自可信地址时，将使用来自 `X-Forwarded-For` 请求头字段的地址。

### geoip\_proxy\_recursive ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>geoip_proxy_recursive</strong> <code>on</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>geoip_proxy_recursive off;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>提示</strong></td> 
   <td>该指令在 1.3.0 版本和 1.2.1. 版本中出现</td> 
  </tr> 
 </tbody> 
</table>

如果递归搜索被禁用，那么将使用在 `X-Forwarded-For` 中发送的最后一个地址，而不是匹配其中一个可信地址的原始客户端地址。如果启用递归搜索，则将使用在 `X-Forwarded-For` 中发送的最后一个不可信地址，而不是匹配其中一个可信地址的原始客户端地址。

## 原文档 ##

[http://nginx.org/en/docs/http/ngx\_http\_geoip\_module.html][http_nginx.org_en_docs_http_ngx_http_geoip_module.html]

--------------------

# \- grpc\_bind #

ngx\_http\_grpc\_module

*  指令
    
     *  grpc\_buffer\_size
     *  grpc\_connect\_timeout
     *  grpc\_hide\_header
     *  grpc\_ignore\_headers
     *  grpc\_intercept\_errors
     *  grpc\_next\_upstream
     *  grpc\_next\_upstream\_timeout
     *  grpc\_next\_upstream\_tries
     *  grpc\_pass
     *  grpc\_pass\_header
     *  grpc\_read\_timeout
     *  grpc\_send\_timeout
     *  grpc\_set\_header
     *  grpc\_ssl\_certificate
     *  grpc\_ssl\_certificate\_key
     *  grpc\_ssl\_ciphers
     *  grpc\_ssl\_crl
     *  grpc\_ssl\_name
     *  grpc\_ssl\_password\_file
     *  grpc\_ssl\_server\_name
     *  grpc\_ssl\_session\_reuse
     *  grpc\_ssl\_protocols
     *  grpc\_ssl\_trusted\_certificate
     *  grpc\_ssl\_verify
     *  grpc\_ssl\_verify\_depth

`ngx_http_grpc_module` 模块允许将请求传递给 gRPC 服务器（1.13.10）。该模块需要 ngx\_http\_v2\_module 模块的支持。

## 示例配置 ##

server {
        listen 9000 http2;
    
        location / {
            grpc_pass 127.0.0.1:9000;
        }
    }

## 指令 ##

### grpc\_bind ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>map</strong> <code>address [transparent ]</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

连接到一个指定了本地 IP 地址和可选端口的 gRPC 服务器。参数值可以包含变量。特殊值 `off` 取消从上层配置级别继承的 `grpc_bind` 指令的作用，其允许系统自动分配本地 IP 地址和端口。

`transparent` 参数允许出站从非本地 IP 地址到 gRPC 服务器的连接（例如，来自客户端的真实 IP 地址）：

grpc_bind $remote_addr transparent;

为了使这个参数起作用，通常需要以超级用户权限运行 nginx worker 进程。在 Linux 上，不需要指定 `transparent` 参数，工作进程会继承 master 进程的 `CAP_NET_RAW` 功能。此外，还要配置内核路由表来拦截来自 gRPC 服务器的网络流量。

### grpc\_buffer\_size ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_buffer_size</strong> <code>size</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_buffer_size 4k|8k;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

设置用于读取从 gRPC 服务器收到的响应的缓冲区的大小（`size`）。一旦收到响应，响应便会同步传送给客户端。

### grpc\_connect\_timeout ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_connect_timeout</strong> <code>time</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_connect_timeout 60s;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

定义与 gRPC 服务器建立连接的超时时间。需要说明的是，超时通常不能超过 75 秒。

### grpc\_hide\_header ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_hide_header</strong> <code>field</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

默认情况下，nginx 不会将 gRPC 服务器响应中的头字段 `Date`、`Server` 和 `X-Accel-...` 传送给客户端。`grpc_hide_header` 指令设置了不会被传送的附加字段。相反，如果需要允许传送字段，则可以使用 grpc\_pass\_header 指令设置。

### grpc\_ignore\_headers ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ignore_headers</strong> <code>field ...</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

禁用处理来自 gRPC 服务器的某些响应头字段。以下字段可以忽略：`X-Accel-Redirect` 和 `X-Accel-Charset`。

如果未禁用，处理这些头字段将产生以下作用：

*  `X-Accel-Redirect` 执行内部重定向到指定的 URI
 *  `X-Accel-Charset` 设置所需的响应字符集

### grpc\_intercept\_errors ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_intercept_errors</strong> <code>on</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_intercept_errors off;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

确定状态码大于或等于 300 的 gRPC 服务器响应是应该传送给客户端还是拦截并重定向到 nginx 使用 error\_page 指令进行处理。

### grpc\_next\_upstream ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_next_upstream</strong> <code>error</code> | <code>timeout</code> | <code>invalid_header</code> | <code>http_500</code> | <code>http_502</code> | <code>http_503</code> | <code>http_504</code> | <code>http_403</code> | <code>http_404</code> | <code>http_429</code> | <code>non_idempotent</code> | <code>off ...</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_next_upstream error timeout;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定在哪些情况下请求应传递给下一个服务器：

*  `error`
    
    在与服务器建立连接、传递请求或读取响应头时发生错误
 *  `timeout`
    
    在与服务器建立连接、传递请求或读取响应头时发生超时
 *  `invalid_header`
    
    服务器返回了空的或无效的响应
 *  `http_500`
    
    服务器返回状态码为 500 的响应
 *  `http_502`
    
    服务器返回状态码为 502 的响应
 *  `http_503`
    
    服务器返回状态码为 503 的响应
 *  `http_504`
    
    服务器返回状态码为 504 的响应
 *  `http_403`
    
    服务器返回状态码为 403 的响应
 *  `http_404`
    
    服务器返回状态码为 404 的响应
 *  `http_429`
    
    服务器返回状态码为 429 的响应
 *  `non_idempotent`
    
    通常，如果请求已发送到上游服务器，请求方法为非幂等（POST、LOCK、PATCH）的请求是不会传送到下一个服务器，使这个选项将明确允许重试这样的请求
 *  `off`
    
    禁止将请求传递给下一个服务器

我们应该记住，只有在没有任何内容发送给客户端的情况下，才能将请求传递给下一个服务器。也就是说，如果在响应传输过程中发生错误或超时，修复这样的错误是不可能的。

该指令还定义了与服务器进行通信的失败尝试。`error`、`timeout` 和 `invalid_header` 的情况总是被认为是失败尝试，即使它们没有在指令中指定。只有在指令中指定了 `http_500`、`http_502`、`http_503`、`http_504` 和 `http_429` 的情况下，才会将其视为失败尝试。`http_403` 和 `http_404` 的情况永远不会被视为失败尝试。

将请求传递给下一个服务器可能受到尝试次数和时间的限制。

### grpc\_next\_upstream\_timeout ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_next_upstream_timeout</strong> <code>time</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_next_upstream_timeout 0;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

限制请求可以传递到下一个服务器的时间。`0` 值表示关闭此限制。

### grpc\_next\_upstream\_tries ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_next_upstream_tries</strong> <code>number</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_next_upstream_tries 0;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

限制尝试将请求传递到下一个服务器的次数。`0` 值表示关闭此限制。

### grpc\_pass ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_pass</strong> <code>address</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>location、location 中的 if</td> 
  </tr> 
 </tbody> 
</table>

设置 gRPC 服务器地址。该地址可以指定为域名或 IP 地址以及端口：

grpc_pass localhost:9000;

或使用 UNIX 域套接字路径：

grpc_pass unix:/tmp/grpc.socket;

或使用 `grpc://` scheme：

grpc_pass grpc://127.0.0.1:9000;

要 gRPC 配合 SSL，应该使用 `grpcs://` scheme：

grpc_pass grpcs://127.0.0.1:443;

如果域名解析为多个地址，则这些地址将以循环方式使用。另外，地址可以被指定为服务器组。

### grpc\_pass\_header ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_pass_header</strong> <code>field</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

允许从 gRPC 服务器向客户端传递忽略的头字段。

### grpc\_read\_timeout ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_read_timeout</strong> <code>time</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_read_timeout 60s;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

定义从 gRPC 服务器读取响应的超时时间。超时间隔只在两次连续的读操作之间，而不是整个响应的传输过程。如果 gRPC 服务器在此时间内没有发送任何内容，则连接关闭。

### grpc\_send\_timeout ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_send_timeout</strong> <code>time</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_send_timeout 60s;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

设置向 gRPC 服务器发送请求的超时时间。超时间隔只在两次连续写入操作之间，而不是整个请求的传输过程。如果 gRPC 服务器在此时间内没有收到任何内容，则连接将关闭。

### grpc\_set\_header ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_set_header</strong> <code>field value</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_set_header Content-Length $content_length;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

允许重新定义或附加字段到传递给 gRPC 服务器的请求头。该值可以包含文本、变量及其组合。当且仅当在当前级别上没有定义 `grpc_set_header` 指令时，这些指令才从上一级继承。

如果头字段的值是一个空字符串，那么这个字段将不会被传递给 gRPC 服务器：

grpc_set_header Accept-Encoding "";

### grpc\_ssl\_certificate ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_certificate</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定一个带有 PEM 格式证书的文件（`file`），用于向 gRPC SSL 服务器进行身份验证。

### grpc\_ssl\_certificate\_key ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_certificate_key</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定一个文件（`file`），其包含 PEM 格式的密钥，用于对 gRPC SSL 服务器进行身份验证。

可以指定值 `engine:name:id` 来代替 `file`，其从 OpenSSL 引擎 `name` 加载具有指定 `id` 的密钥。

### grpc\_ssl\_ciphers ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_ciphers</strong> <code>ciphers</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_ciphers DEFAULT;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定对 gRPC SSL 服务器的请求启用的密码。密码格式能被 OpenSSL 库所支持。

完整的列表详情可以使用 `openssl ciphers` 命令查看。

### grpc\_ssl\_crl ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_crl</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定一个带有 PEM 格式的撤销证书（CRL）的文件（`file`），用于验证 gRPC SSL 服务器的证书。

### grpc\_ssl\_name ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_name</strong> <code>name</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_name host from grpc_pass;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

允许重写用于验证 gRPC SSL 服务器的证书并在与 gRPC SSL 服务器建立连接时通过 SNI 传递的服务器名称。

默认情况下，使用 grpc\_pass 的主机部分。

### grpc\_ssl\_password\_file ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_password_file</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定一个密码为密钥的文件，每个密码在单独的行上指定。加载密钥时会依次尝试每个密码。

### grpc\_ssl\_server\_name ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_server_name</strong> <code>on</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_server_name off;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

在建立与 gRPC SSL 服务器的连接时，启用或禁用通过 [TLS 服务器名称指示扩展][TLS]（SNI，RFC 6066）传送服务器名称。

### grpc\_ssl\_session\_reuse ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_session_reuse</strong> <code>on</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_session_reuse on;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

确定在使用 gRPC 服务器时是否可以重用 SSL 会话。如果错误 `SSL3_GET_FINISHED:digest check fialed` 出现在日志中，尝试禁用会话重用。

### grpc\_ssl\_protocols ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_protocols</strong> <code>[SSLv2] [SSLv3] [TLSv1] [TLSv1.1] [TLSv1.2] [TLSv1.3]</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_protocols TLSv1 TLSv1.1 TLSv1.2;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

对 gRPC SSL 服务器的请求启用指定的协议。

### grpc\_ssl\_trusted\_certificate ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_trusted_certificate</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>——</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定一个带有 PEM 格式的可信 CA 证书的文件，用于验证 gRPC SSL 服务器的证书。

### grpc\_ssl\_verify ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_verify</strong> <code>on</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_verify off;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

启用或禁用验证 gRPC SSL 服务器证书。

### grpc\_ssl\_verify\_depth ###

<table> 
 <thead> 
  <tr> 
   <th align="right">-</th> 
   <th>说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="right"><strong>语法</strong></td> 
   <td><strong>grpc_ssl_verify_depth</strong> <code>number</code>;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>默认</strong></td> 
   <td>grpc_ssl_verify_depth 1;</td> 
  </tr> 
  <tr> 
   <td align="right"><strong>上下文</strong></td> 
   <td>http、server、location</td> 
  </tr> 
 </tbody> 
</table>

设置 gRPC SSL 服务器证书链中的验证深度。

## 原文档 ##

[http://nginx.org/en/docs/http/ngx\_http\_grpc\_module.html][http_nginx.org_en_docs_http_ngx_http_grpc_module.html]

[MaxMind]: http://www.maxmind.com/
[MaxMind GeoIP]: http://www.maxmind.com/app/c
[Link 1]: https://developers.google.com/adwords/api/docs/appendix/cities-DMAregions
[http_nginx.org_en_docs_http_ngx_http_geoip_module.html]: http://nginx.org/en/docs/http/ngx_http_geoip_module.html
[TLS]: http://en.wikipedia.org/wiki/Server_Name_Indication
[http_nginx.org_en_docs_http_ngx_http_grpc_module.html]: http://nginx.org/en/docs/http/ngx_http_grpc_module.html