Supplement · Nginx
TLS, HTTP/2 và connection lifecycle
TLS termination sở hữu certificate, protocol/cipher policy, session resumption và client identity. SNI chọn virtual server/certificate trước HTTP Host routing.
Operational model
- Chỉ enable protocol/cipher phù hợp client và policy; verify bằng handshake thật, không chỉ config.
- Certificate chain, SAN, OCSP stapling và clock đều là nguồn failure.
- HTTP/2 multiplex nhiều stream trên một TCP connection, giảm head-of-line ở HTTP layer nhưng không loại bỏ TCP loss hay backend concurrency.
- Giới hạn request/field/stream và timeout vẫn cần chống resource exhaustion.
- Reload certificate cần kiểm fingerprint mới trên listener và đảm bảo old worker drain.