【nginx】TLS1.0/1.1での接続を禁止する

TLS1.0/1.1のサポートは主要ブラウザで2020年に終了しています。また、セキュリティ的にも推奨されないので、非対応にしてしまいましょう。webサーバーはnginxを使います。
当サイトはVPSの簡単セットアップで構築していますが、初期設定では無効化されていないので同様の環境の方は要確認です。

サーバーのTLS対応状況を確認

Qualys SSL Labsにて自分のドメインを入力することで対応状況を確認できます。
数分待つと結果が表示されます。少々時間がかかるので正常に処理されているか心配になりますが、しばらく待ってください。その後IPアドレス・スコアが表示されます（上図）。IPアドレス部分をクリックするとブラウザ別の挙動や、暗号化の方式などの詳細が表示されます。
セキュリティ的に改善したほうが良い項目に関してはオレンジで表示されるようです。

当サイトも初期設定ではTLS1.0/1.1に対応していますので、この後改善を行います。
TLS1.3への対応は少々難易度が上がるので今回は見送ります。（いずれは対応したいですね）

加えて、暗号スイートもなんでも受け付ける仕様になっているようなので改善したいと思います。

設定ファイルに追記

設定ファイルのserver内に次のコードを挿入します。

TLSのバージョンの他に暗号スイートも指定します。

server{
…
#TLSバージョンを指定
ssl_protocols TLSv1.2;
#暗号スイートを指定
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
…
}

入力したら設定を適用します。