Увімкніть HTTP/2 в Nginx на Ubuntu 16.04

HTTP/2 є новою версією застарілого протоколу HTTP/1.1, який був стандартизований ще в 1999 році. З того часу в Інтернеті багато чого змінилося. Наші програми складніші, ніж раніше, тому щоб впоратися з цим, була потрібна зміна основного транспортного протоколу. Найважливішим у HTTP/2 є те, що він зробить вашу веб-сторінку швидшою для кінцевих користувачів.

Коротко кажучи, HTTP/2 додає 5 ключових функцій:

• Одинарне, постійне з'єднання
• Мультиплексування
• Стиснення заголовка
• Приоритезація ресурсів
• Захищає транспортний рівень (дійсно лише для браузерів)

Пояснення всіх цих функцій виходить за рамки цього підручника, але якщо ви хочете глибше заглибитися в цю тему, я можу порекомендувати уривок з книги «Мережа високопродуктивного браузера» - уривок HTTP/2 .

У цьому посібнику ми збираємося встановити останню стабільну версію Nginx на Ubuntu 16.04 (Xenial), згенерувати самопідписаний сертифікат SSL, увімкнути протокол HTTP/2 в Nginx та встановимо текстовий браузер, який elinksбуде працювати як клієнт HTTP.

Встановіть Nginx

Щоб встановити останню стабільну версію Nginx, нам потрібно виконати кілька команд:

1. Нам потрібно завантажити публічний ключ PGP Nginx, який використовується для підписання пакетів і репозиторіїв, і додати його до ключів, які використовуються менеджером пакетів, щоб перевірити справжність пакетів, завантажених зі сховища.

   wget https://nginx.org/keys/nginx_signing.key && apt-key add nginx_signing.key
   

2. Видаліть ключ PGP з файлової системи:

   rm nginx_signing.key
   

3. Додати нове сховище

   printf "deb http://nginx.org/packages/ubuntu/ xenial nginx \ndeb-src http://nginx.org/packages/ubuntu/ xenial nginx \n" >> /etc/apt/sources.list.d/nginx.list
   

4. Оновіть список пакетів і встановіть Nginx:

   apt update && apt install nginx -y
   

5. Щоб перевірити версію Nginx, ми можемо використовувати наступне:

   nginx -v 
   # nginx version: nginx/1.10.1
   

   Якщо все пройшло добре, ви повинні побачити шаблон, як 1.10.xу виводі під час виконання nginx -vкоманди.

Самопідписаний сертифікат і HTTP/2

Although HTTP/2 spec doesn’t force browsers to implement HTTP/2 over TLS, all major browsers decided to only implement HTTP/2 over TLS, but not any TLS version, only TLS 1.2 or higher.

Ми збираємося створити самопідписані сертифікати для вигаданого example.comдомену, для виробництва вам потрібен дійсний домен і використання надійного ЦС.

1. Згенерувати закритий ключ:

   openssl genrsa -aes128 -out example.com.key 2048
   

   Після виконання цієї команди вам потрібно буде ввести парольну фразу 2 рази. Оскільки парольні фрази дратують, ми збираємося їх видалити.

2. Видалити парольну фразу з приватного ключа:

   openssl rsa -in example.com.key -out example.com.key
   

3. Створення запиту на підписання сертифіката (CSR):

   openssl req -new -sha256 -key example.com.key -out cert-request.csr 
   

   We are creating single-domain certificate so we need to set common-name field equal to example.com domain

4. Створити сертифікат:

   openssl x509 -req -days 365 -in cert-request.csr -signkey example.com.key -out example.com.crt
   

5. Розберіть сертифікат і закритий ключ:

   mkdir -p /etc/ssl/testing/private && mkdir /etc/ssl/testing/certs
   mv example.com.key /etc/ssl/testing/private && mv example.com.crt /etc/ssl/testing/certs
   

6. Створіть каталоги віртуальних хостів nginx

   mkdir /etc/nginx/sites-available && mkdir /etc/nginx/sites-enabled
   

7. Потім запустіть nano /etc/nginx/nginx.confі знайдіть директиву include /etc/nginx/conf.d/*.conf;. Під цією директивою додайте include /etc/nginx/sites-enabled/*;Зберегти ( CTRL+O ), а потім вийдіть ( CTRL+X ).

   ##
   # Virtual Hosts
   ##
   include /etc/nginx/conf.d/*.conf;
   include /etc/nginx/sites-enabled/*;
   

8. Створіть файл під назвою example.com.confвсередині /etc/nginx/sites-availableкаталогу за допомогою цієї команди nano /etc/nginx/sites-available/example.com.confта скопіюйте/вставте наступний код:

   server {
       listen 80;
       listen [::]:80;
       server_name example.com;
       return 301 https://$host$request_uri;
   }
   server {
       listen 443 ssl http2;
       listen [::]:443 ssl http2;
       server_name example.com;
       root /var/www/html;
       index index.nginx-debian.html;
   
       ssl_certificate /etc/ssl/testing/certs/example.com.crt;
       ssl_certificate_key /etc/ssl/testing/private/example.com.key;
   
       ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
       ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
       ssl_prefer_server_ciphers on;
   }
   

   Вітаємо, тепер у вас є веб-сервер із підтримкою HTTP/2 . Додавання http2параметра до listenдирективи всередині віртуального хосту HTTPS надасть вам підтримку HTTP/2 .

9. Створіть символічне посилання для за /etc/nginx/sites-available/example.com.confдопомогою цієї команди:

   ln -s /etc/nginx/sites-available/example.com.conf /etc/nginx/sites-enabled
   

10. Синтаксис тестової конфігурації

    nginx -t
    

11. Перезапустіть Nginx, щоб застосувати зміни:

    systemctl restart nginx
    

12. Додати example.comдомен у /etc/hostsфайл

    echo '127.0.0.1    example.com' >> /etc/hosts
    

Встановіть elinks

Щоб перевірити ваш віртуальний хост, нам потрібен текстовий браузер - elinks.

1. Щоб встановити elinks, скористайтеся такою командою:

   apt install elinks
   

2. Щоб перевірити example.comзапуск віртуального хоста:

   elinks https://example.com
   

3. Щоб вийти з браузера elinks, натисніть q на клавіатурі, а потім Enter .

Перевірте HTTP/2

Щоб побачити, які протоколи рекламує сервер, найпростіший спосіб – це використовувати opensslінструментарій.

    openssl s_client -connect example.com:443 -nextprotoneg ''

У виводі цієї команди ви повинні побачити щось на зразок цього:

    CONNECTED(00000003)
    Protocols advertised by server: h2, http/1.1      

Щоб побачити HTTP/2 в дії, ви можете використовувати інструменти розробника браузера. Протокол HTTP/2 позначається h2або HTTP/2.0ідентифікаторами або . Відкрийте мережеву панель в інструментах розробника та оновіть сторінку.

Висновок

Тепер ви повинні знати, як «легко» ввімкнути HTTP/2 у конфігурації Nginx, але це не вся частина загальної картини. Спочатку вам слід подумати про те, щоб увімкнути TLS/SSL на вашому сервері з потужними наборами шифрів і переконатися, що ви не використовуєте шифри з чорного списку . Тільки після ввімкнення міцного TLS/SSL на вашому сервері ви можете почати думати про ввімкнення HTTP/2 .