Aktiver HTTP/2 i Nginx på Ubuntu 16.04

HTTP/2 er den nye version af nu forældede HTTP/1.1 protokol, som blev standardiseret helt tilbage i 1999. Meget har ændret sig på nettet siden da. Vores applikationer er mere komplekse, end de var tilbage, så for at klare det var ændring i den underliggende transportprotokol nødvendig. Det vigtigste ved HTTP/2 er, at det vil gøre din webside hurtigere for slutbrugerne.

Kort fortalt tilføjer HTTP/2 5 nøglefunktioner:

• Enkelt, vedvarende forbindelse
• Multipleksing
• Header komprimering
• Ressourceprioritering
• Sikrer transportlag (kun gyldig for browsere)

At forklare alle disse funktioner er uden for denne tutorials omfang, men hvis du vil grave dybere ned i dette emne, kan jeg anbefale et uddrag fra bogen High Performance Browser Networking - HTTP/2 excerpt .

I denne vejledning skal vi installere den seneste stabile version af Nginx på Ubuntu 16.04 (Xenial), generere selvsigneret SSL-certifikat, aktivere HTTP/2- protokol i Nginx og installere tekstbaseret browser for elinksat fungere som HTTP-klient.

Installer Nginx

For at installere den seneste stabile version af Nginx skal vi udstede en del kommandoer:

1. Vi skal downloade den offentlige Nginx PGP-nøgle, der bruges til at signere pakker og lagre og tilføje den til nøgleringen, der bruges af pakkehåndteringen for at bekræfte ægtheden af ​​pakker, der er downloadet fra lageret.

   wget https://nginx.org/keys/nginx_signing.key && apt-key add nginx_signing.key
   

2. Slet PGP-nøglen fra filsystemet:

   rm nginx_signing.key
   

3. Tilføj nyt lager

   printf "deb http://nginx.org/packages/ubuntu/ xenial nginx \ndeb-src http://nginx.org/packages/ubuntu/ xenial nginx \n" >> /etc/apt/sources.list.d/nginx.list
   

4. Opdater din pakkeliste og installer Nginx:

   apt update && apt install nginx -y
   

5. For at verificere Nginx-versionen kan vi bruge følgende:

   nginx -v 
   # nginx version: nginx/1.10.1
   

   Hvis alt går godt, bør du se et mønster som 1.10.xi outputtet, når du kører nginx -vkommando.

Selvsigneret certifikat og HTTP/2

Although HTTP/2 spec doesn’t force browsers to implement HTTP/2 over TLS, all major browsers decided to only implement HTTP/2 over TLS, but not any TLS version, only TLS 1.2 or higher.

Vi skal lave selvsignerede certifikater for fiktivt example.comdomæne, til produktion skal du bruge et gyldigt domæne og bruge betroet CA.

1. Generer privat nøgle:

   openssl genrsa -aes128 -out example.com.key 2048
   

   Efter at have kørt denne kommando, skal du indtaste adgangssætning 2 gange. Fordi adgangssætninger er irriterende, vil vi fjerne dem.

2. Fjern adgangssætning fra privat nøgle:

   openssl rsa -in example.com.key -out example.com.key
   

3. Generer anmodning om certifikatsignering (CSR):

   openssl req -new -sha256 -key example.com.key -out cert-request.csr 
   

   We are creating single-domain certificate so we need to set common-name field equal to example.com domain

4. Opret certifikat:

   openssl x509 -req -days 365 -in cert-request.csr -signkey example.com.key -out example.com.crt
   

5. Sorter certifikat og privat nøgle fra:

   mkdir -p /etc/ssl/testing/private && mkdir /etc/ssl/testing/certs
   mv example.com.key /etc/ssl/testing/private && mv example.com.crt /etc/ssl/testing/certs
   

6. Lav nginx virtuelle værtsmapper

   mkdir /etc/nginx/sites-available && mkdir /etc/nginx/sites-enabled
   

7. Så løb nano /etc/nginx/nginx.confog find et direktiv include /etc/nginx/conf.d/*.conf;. Tilføj include /etc/nginx/sites-enabled/*;Gem ( CTRL+O ) under dette direktiv , og luk derefter ( CTRL+X ).

   ##
   # Virtual Hosts
   ##
   include /etc/nginx/conf.d/*.conf;
   include /etc/nginx/sites-enabled/*;
   

8. Opret en fil kaldet example.com.confinde i /etc/nginx/sites-availablemappen med denne kommando nano /etc/nginx/sites-available/example.com.confog kopier/indsæt følgende kode:

   server {
       listen 80;
       listen [::]:80;
       server_name example.com;
       return 301 https://$host$request_uri;
   }
   server {
       listen 443 ssl http2;
       listen [::]:443 ssl http2;
       server_name example.com;
       root /var/www/html;
       index index.nginx-debian.html;
   
       ssl_certificate /etc/ssl/testing/certs/example.com.crt;
       ssl_certificate_key /etc/ssl/testing/private/example.com.key;
   
       ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
       ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
       ssl_prefer_server_ciphers on;
   }
   

   Tillykke, du har nu HTTP/2- aktiveret webserver. Tilføjelse af http2parameter til listendirektivet inde i HTTPS virtuelle vært vil give dig HTTP/2- understøttelse.

9. Opret et symbolsk link til /etc/nginx/sites-available/example.com.confmed denne kommando:

   ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled
   

10. Test konfigurationssyntaks

    nginx -t
    

11. Genstart Nginx for at anvende dine ændringer:

    systemctl restart nginx
    

12. Tilføj example.comdomæne til /etc/hostsfilen

    echo '127.0.0.1    example.com' >> /etc/hosts
    

Installer elinks

For at teste din virtuelle vært har vi brug for en tekstbaseret browser - elinks.

1. Brug følgende kommando for at installere elinks:

   apt install elinks
   

2. For at teste din example.comvirtuelle værtskørsel:

   elinks https://example.com
   

3. For at afslutte elinks-browseren skal du trykke på q på dit tastatur og derefter Enter .

Test HTTP/2

For at se, hvilke protokoller serveren annoncerer, er den nemmeste måde at bruge opensslværktøjssættet.

    openssl s_client -connect example.com:443 -nextprotoneg ''

I outputtet af denne kommando skulle du se noget som dette:

    CONNECTED(00000003)
    Protocols advertised by server: h2, http/1.1      

For at se HTTP/2 i aktion kan du bruge browserudviklerværktøjer. HTTP/2- protokollen er angivet enten med h2eller HTTP/2.0identifikatorer. Åbn netværkspanelet i dev-tools og opdater din side.

Konklusion

Nu skal du være opmærksom på, hvor "let" det er at aktivere HTTP/2 i Nginx-konfiguration, men det er ikke hele delen af ​​det overordnede billede. Først bør du tænke på at aktivere TLS/SSL på din server med stærke krypteringspakker og sikre dig, at du ikke bruger sortlistede chiffer . Først efter at have aktiveret stærk TLS/SSL på din server, kan du begynde at overveje at aktivere HTTP/2 .