DSM 6.x und darunter TLS Ciphren beim Nginx

[Frogman]

Hallo in die Runde,
nun habe ich doch auch den Schritt auf die aktuelle DSM 6.1.6 gemacht - lange habe ich mich zurückgehalten, doch diverse Dienste wie ownCloud usw. brauchen nun mal in den aktuellen Versionen ein PHP neuerer Bauart...

So, im Wesentlichen läuft alles rund - Apache 2.2 ist ausgewählt (der 2.4er läuft zwar auch, aber nu...), dazu PHP5.6 und PHP7.0 (wobe ich 5.6 nutzen möchte, um filelocking über Redis zu nutzen ... läuft aber noch nicht, trotz dieser Anleitung, wenn da jemand Erfolg hatte, bin ich hochinteressiert).
An dieser Stelle jedoch eine andere Frage:
Der Nginx übernimmt hier ja die "Außenkommunikation" hinsichtlich der SSL Ciphren, auch wenn ein Apache als Background läuft. Ich bin aber noch nicht wirklich durchgestiegen, wie man detaillierter die Ciphren manipulieren kann. Es gibt unter Systemsteuerung -> Sicherheit -> Erweitert ja einen "Schieberegler", der zwischen moderne, Zwischen- und alte Kompatibilität unterscheidet. Über Ausprobieren und Check auf ssllabs.com erfährt man, dass 'Modern' ausschließlich TLS1.2 mit einigen wenigen Chiphren bedeutet, und 'Zwischenkompatibilität' dann TLS1.x, allerdings mit einigen schwachen Ciphren (u.a. mit 3DES oder auch welche ohne DH-Schlüsseltausch). 'Alt' habe ich mir jetzt erspart...

Bei jedem Start der Webstation wird eine /etc/nginx/nginx.conf erzeugt, offenbar aus Vorlagen in /usr/syno/share/nginx/ , u.a. der /usr/syno/share/nginx/SSLProfile.mustache.
Das Ganze scheint auf den ersten Blick zu korrelieren mit den drei SSLProfilen in der Datei /volume1/@appstore/WebStation/misc/TLSProfile.mustache, doch leider nur auf den ersten Blick - Änderungen dort haben bei mir keine Auswirkungen auf das, was der Nginx nach außen zeigt. Ebensowenig scheint die Definition einer Ciphren-Sammlung in der /volume1/@appstore/WebStation/misc/SSLProfile.mustache Auswirkungen zu haben.

Wer kann mir hier auf die Sprünge helfen und weiß, wie man die Standardsammlungen der drei Kompatibilitätsstufen verändern kann?

Beste Grüße

 

[Frogman]

... läuft aber noch nicht, trotz dieser Anleitung, wenn da jemand Erfolg hatte, bin ich hochinteressiert).

So, hierzu hat sich alles in Wohlgefallen aufgelöst... nachdem ich Dussel gemerkt hatte, dass eine redis-Extension für PHP7 im Appordner des PHP-Pakets herumschlummerte, läuft das transaktionale Filelocking per Redis mit PHP7 unter Nextcloud 13 sauber. In ownCloud 10.0.8 gibt's da offenbar noch einen Bug, dort wird bei identischer Konfig ein Fehler geschmissen.

... Bei jedem Start der Webstation wird eine /etc/nginx/nginx.conf erzeugt, offenbar aus Vorlagen in /usr/syno/share/nginx/ , u.a. der /usr/syno/share/nginx/SSLProfile.mustache.Das Ganze scheint auf den ersten Blick zu korrelieren mit den drei SSLProfilen in der Datei /volume1/@appstore/WebStation/misc/TLSProfile.mustache, doch leider nur auf den ersten Blick - Änderungen dort haben bei mir keine Auswirkungen auf das, was der Nginx nach außen zeigt. Ebensowenig scheint die Definition einer Ciphren-Sammlung in der /volume1/@appstore/WebStation/misc/SSLProfile.mustache Auswirkungen zu haben.

Bei meiner eigentlichen Frage bin ich allerdings noch nicht weiter, trotz intensiver Durchforstung der Konfig und Abhängigkeiten bin ich noch nicht an der Stelle angekommen, wo die eigentlichen Definitionen der 3 SSL-Stufen zu finden sind. Gibt's hier nicht den einen oder anderen Nginx-Experten, der die etwas schräge Synology-Implementierung durchdrungen hat?