Omogočite HTTP/2 v Nginxu v Ubuntu 16.04

HTTP/2 je nova različica zdaj zastarelega protokola HTTP/1.1, ki je bil standardiziran že leta 1999. Od takrat se je na spletu veliko spremenilo. Naše aplikacije so bolj zapletene, kot so bile prej, zato je bila za obvladovanje tega potrebna sprememba osnovnega transportnega protokola. Najpomembnejša stvar pri HTTP/2 je, da bo vaša spletna stran postala hitrejša za končne uporabnike.

Na kratko HTTP/2 dodaja 5 ključnih funkcij:

• Enotna, obstojna povezava
• Multipleksiranje
• Stiskanje glave
• Prednosti virov
• Varuje transportni sloj (velja samo za brskalnike)

Razlaga vseh teh funkcij je izven obsega te vadnice, vendar če se želite poglobiti v to temo, vam lahko priporočam odlomek iz knjige High Performance Browser Networking – izvleček HTTP/2 .

V tem priročniku bomo namestili najnovejšo stabilno različico Nginxa na Ubuntu 16.04 (Xenial), ustvarili samopodpisani certifikat SSL, omogočili protokol HTTP/2 v Nginxu in namestili brskalnik, ki temelji na besedilu, elinksda deluje kot odjemalec HTTP.

Namestite Nginx

Za namestitev najnovejše stabilne različice Nginxa moramo izdati kar nekaj ukazov:

1. Prenesti moramo javni ključ PGP Nginx, ki se uporablja za podpisovanje paketov in repozitorijev, in ga dodati v obroč ključev, ki ga uporablja upravitelj paketov, da preveri pristnost paketov, prenesenih iz skladišča.

   wget https://nginx.org/keys/nginx_signing.key && apt-key add nginx_signing.key
   

2. Izbrišite ključ PGP iz datotečnega sistema:

   rm nginx_signing.key
   

3. Dodajte novo skladišče

   printf "deb http://nginx.org/packages/ubuntu/ xenial nginx \ndeb-src http://nginx.org/packages/ubuntu/ xenial nginx \n" >> /etc/apt/sources.list.d/nginx.list
   

4. Posodobite seznam paketov in namestite Nginx:

   apt update && apt install nginx -y
   

5. Za preverjanje različice Nginxa lahko uporabimo naslednje:

   nginx -v 
   # nginx version: nginx/1.10.1
   

   Če gre vse v redu, bi morali videti vzorec kot 1.10.xv izhodu, ko zaženete nginx -vukaz.

Samopodpisano potrdilo in HTTP/2

Although HTTP/2 spec doesn’t force browsers to implement HTTP/2 over TLS, all major browsers decided to only implement HTTP/2 over TLS, but not any TLS version, only TLS 1.2 or higher.

Ustvarili bomo samopodpisane example.comcertifikate za izmišljeno domeno, za produkcijo potrebujete veljavno domeno in uporabite zaupanja vreden CA.

1. Ustvari zasebni ključ:

   openssl genrsa -aes128 -out example.com.key 2048
   

   Po zagonu tega ukaza boste morali 2-krat vnesti geslo. Ker so geslo moteče, ga bomo odstranili.

2. Odstrani geslo iz zasebnega ključa:

   openssl rsa -in example.com.key -out example.com.key
   

3. Ustvari zahtevo za podpis potrdila (CSR):

   openssl req -new -sha256 -key example.com.key -out cert-request.csr 
   

   We are creating single-domain certificate so we need to set common-name field equal to example.com domain

4. Ustvari potrdilo:

   openssl x509 -req -days 365 -in cert-request.csr -signkey example.com.key -out example.com.crt
   

5. Razvrsti potrdilo in zasebni ključ:

   mkdir -p /etc/ssl/testing/private && mkdir /etc/ssl/testing/certs
   mv example.com.key /etc/ssl/testing/private && mv example.com.crt /etc/ssl/testing/certs
   

6. Ustvarite imenike navideznega gostitelja nginx

   mkdir /etc/nginx/sites-available && mkdir /etc/nginx/sites-enabled
   

7. Nato zaženite nano /etc/nginx/nginx.confin poiščite direktivo include /etc/nginx/conf.d/*.conf;. Pod to direktivo dodajte include /etc/nginx/sites-enabled/*;Shrani ( CTRL+O ) in nato zaprite ( CTRL+X ).

   ##
   # Virtual Hosts
   ##
   include /etc/nginx/conf.d/*.conf;
   include /etc/nginx/sites-enabled/*;
   

8. S tem ukazom ustvarite datoteko, imenovano example.com.confznotraj /etc/nginx/sites-availableimenika, nano /etc/nginx/sites-available/example.com.confin kopirajte/prilepite naslednjo kodo:

   server {
       listen 80;
       listen [::]:80;
       server_name example.com;
       return 301 https://$host$request_uri;
   }
   server {
       listen 443 ssl http2;
       listen [::]:443 ssl http2;
       server_name example.com;
       root /var/www/html;
       index index.nginx-debian.html;
   
       ssl_certificate /etc/ssl/testing/certs/example.com.crt;
       ssl_certificate_key /etc/ssl/testing/private/example.com.key;
   
       ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
       ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
       ssl_prefer_server_ciphers on;
   }
   

   Čestitamo, zdaj imate spletni strežnik, ki podpira HTTP/2 . Če dodate http2parameter listendirektivi znotraj virtualnega gostitelja HTTPS, boste dobili podporo za HTTP/2 .

9. Ustvarite simbolično povezavo za /etc/nginx/sites-available/example.com.confs tem ukazom:

   ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled
   

10. Preizkus konfiguracijske sintakse

    nginx -t
    

11. Znova zaženite Nginx, da uporabite spremembe:

    systemctl restart nginx
    

12. Dodajte example.comdomeno v /etc/hostsdatoteko

    echo '127.0.0.1    example.com' >> /etc/hosts
    

Namestite elinks

Za testiranje vašega virtualnega gostitelja potrebujemo besedilni brskalnik – elinks.

1. Za namestitev elinks uporabite naslednji ukaz:

   apt install elinks
   

2. Če želite preizkusiti example.comzagon navideznega gostitelja:

   elinks https://example.com
   

3. Za izhod iz brskalnika elinks pritisnite q na tipkovnici in nato Enter .

Preizkusite HTTP/2

Če želite videti, katere protokole strežnik oglašuje, je najlažje uporabiti opensslkomplet orodij.

    openssl s_client -connect example.com:443 -nextprotoneg ''

V izhodu tega ukaza bi morali videti nekaj takega:

    CONNECTED(00000003)
    Protocols advertised by server: h2, http/1.1      

Če si želite ogledati HTTP/2 v akciji, lahko uporabite orodja za razvijalce brskalnika. Protokol HTTP/2 je označen z identifikatorji h2ali HTTP/2.0. Odprite omrežno ploščo v orodjih za razvijalce in osvežite svojo stran.

Zaključek

Zdaj se morate zavedati, kako "enostavno" je omogočiti HTTP/2 v konfiguraciji Nginx, vendar to ni celoten del celotne slike. Najprej razmislite o omogočanju TLS/SSL na vašem strežniku z močnimi zbirki šifriranja in se prepričajte, da ne uporabljate šifr s črnega seznama . Šele ko omogočite močan TLS/SSL na svojem strežniku, lahko začnete razmišljati o omogočanju HTTP/2 .