Как отключить TLS 1.0 и TLS 1.1 в Nginx

Протокол TLS 1.0 появился в 1999 году, TLS 1.1 в 2006 и они оба должны будут считаться устаревшими в 2020 году, а также должны будут убраны из поддержки в различных браузерах примерно в марте 2020, по этому их необходимо отключать. Аналогичным образом ранее устарели и протоколы SSL 2.0, SSL 3.0.

Если вы не указывали версии протоколов в файлах конфигураций сайтов, то они по умолчанию указаны в файле /etc/nginx/nginx.conf, например:

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Просто уберем их оттуда, например:

ssl_protocols TLSv1.2;

Либо укажем в конфигурации каждого сайта, например:

server {
    ...
    listen 443 ssl default_server;
    ssl_protocols TLSv1.2;
    ...
}

Проверим корректность конфигурации и перезагрузим ее:

sudo nginx -t
sudo service nginx reload

Пример проверки подключения (убедимся что соединение не устанавливается при устаревших протоколах):

openssl s_client -connect ixnfo.com:443 -tls1
openssl s_client -connect ixnfo.com:443 -tls1_1
openssl s_client -connect ixnfo.com:443 -tls1_2
openssl s_client -connect ixnfo.com:443 -ssl3

Также можно выполнить проверку через различные сайты, например https://www.ssllabs.com/ssltest/, там же можно увидеть и прочие рекомендации по безопасности.

Смотрите также мою статью:
Редирект HTTP на HTTPS в Nginx