ГОСТ в Nginx: HTTPS, mTLS и обратный прокси

В НАЙС.ОС Nginx работает с системной OpenSSL. Это позволяет строить HTTPS-сервисы с поддерживаемыми криптографическими профилями, в том числе с ГОСТ, использовать сертификаты X.509, проверять клиентские сертификаты, соединяться с защищёнными upstream-сервисами и обращаться к ключам токена через совместимый OpenSSL Provider.

Для ГОСТ-TLS важен согласованный алгоритм соединения, а не только название сертификата. TLS-сессия может оказаться на обычном AES даже при наличии ГОСТ-библиотеки. Поэтому приёмка обязательно включает openssl s_client и журнал проверки реального криптопрофиля.

Сценарии

• Серверный сертификат и TLS — отдельный безопасный HTTPS-стенд.
• Взаимная TLS-аутентификация — обязательный клиентский сертификат.
• ГОСТ на внешнем и внутреннем участке прокси — два независимых TLS-соединения.
• Ключ на PKCS#11-токене — использование URI неэкспортируемого ключа.
• CRL и ротация сертификатов — отзыв, обновление, переключение конфигурации.
• Диагностика соединений — проверка протокола, цепочки и ошибок.

Для создания ключей и PKI используйте каноническое руководство OpenSSL, не дублируя команды здесь.