Debian jessie nginx với openssl 1.0.2 để sử dụng ALPN thay vì NPN

Tôi đang chạy debian jessie trên máy chủ của mình và gần đây đã nâng cấp lên máy chủ web nginx mới với sự hỗ trợ http / 2 (nginx 1.10). Như ngày nay, nó hoạt động rất tốt và máy chủ web đang phân phối nội dung với giao thức http2.

Tôi đã đọc, chrome đang giảm hỗ trợ NPN và chỉ cho phép ALPN sau ngày 15,5.2016. ALPN là phần mở rộng, yêu cầu cài đặt openssl 1.0.2, nhưng trên debian jessie chỉ là openssl 1.0.1 (cũng trên backport debian và một kho lưu trữ khác, không có phiên bản openssl 1.0.2 cho debian này).

Và có một vấn đề - tôi đã nâng cấp từ SPDY lên http2 và trong vài ngày nữa, tôi sẽ phải tắt http2 và không thể sử dụng SPDY vì phiên bản nignx này chỉ có http2. Tôi cũng đã đọc, rằng phiên bản debian này sẽ bị kẹt với openssl 1.0.1 và chỉ có debian kéo dài mới có openssl 1.0.2. Nhưng đến ngày phát hành gần như là năm và chrome sẽ sớm ngừng hỗ trợ, vì vậy tôi không muốn mất lợi ích của giao thức http2.

Có giải pháp nào không, làm thế nào để cài đặt openssl 1.0.2 trên hệ thống này, mà không cần xây dựng bản dựng riêng (bảo trì kém) hoặc chờ kho lưu trữ backport có nó? Tôi cũng không muốn hai phiên bản openssl trên hệ thống của mình nếu một trong số chúng phải được liên kết và bảo trì thủ công.

Cảm ơn vì bất kì sự giúp đỡ.

Cập nhật 2016/08/08: nginx trong jessie-backports(phiên bản 1.9.10-1~bpo8+3đã được xây dựng openssl >= 1.0.2~. Bắt đầu ALPNlàm việc ngay bây giờ nếu chạy jessiechỉ yêu cầu các gói ra khỏi đó jessie-backports, không cần phải rút các gói ra khỏi đó stretchnữa.

-

Câu trả lời gốc: Vâng, đây là câu trả lời của tôi, theo ý kiến: Theo tôi, không có nhiều cách để giải quyết vấn đề này cho đến ngày hôm nay, 2016/05/09. Về cơ bản, bạn phải thử bằng cách nào đó để có được sự hiện đại nginxtrong hệ thống của bạn, được biên dịch lại >= openssl 1.0.2~.

Hai tùy chọn duy nhất tôi thấy hiện tại: Hoặc bạn tự biên dịch, điều mà bạn không muốn làm, điều này khá dễ hiểu hoặc bạn rút các gói hiện đại ra khỏi Debian stretchhệ thống của mình. Điều này liên quan đến một số rủi ro, bởi vì bạn đang trộn một môi trường ổn định với một môi trường khác, nhưng theo tôi thì những rủi ro này khá thấp, vì bạn đang sử dụng Debian.

Vì vậy, hãy đi và thử điều này:

• Thêm Debian stretchkho lưu trữ của bạn apt sources. Đừng sử dụng /etc/apt/sources.listcho việc này mà thay vào đó hãy sử dụng một tệp chuyên dụng /etc/apt/sources.list.d/để giữ sạch sẽ, cá nhân tôi đang sử dụng stretch.list.

  Đặt những dòng này bên trong đó:

  deb http://httpredir.debian.org/debian/ stretch main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch main contrib non-free
  
  deb http://security.debian.org/ stretch/updates main contrib non-free
  deb-src http://security.debian.org/ stretch/updates main contrib non-free
  
  # stretch-updates, previously known as 'volatile'
  deb http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  

• Thiết lập ghim apt để đảm bảo bạn chỉ lấy các gói trong Debian stretchđó bạn chỉ định. Các tập tin để sử dụng cho điều này là /etc/apt/preferences, bên trong đó, đặt:

  Package: *
  Pin: release n=jessie
  Pin-Priority: 900
  
  Package: * 
  Pin: release a=jessie-backports
  Pin-Priority: 500
  
  Package: *
  Pin: release n=stretch
  Pin-Priority: 100
  

  (Bạn có thể phải thay đổi các bộ và ưu tiên để phù hợp với môi trường của mình.)

• Chạy apt-get update(thông qua sudo/ như root) để cập nhật bộ đệm gói.

• Cài đặt nginxtừ Debian stretch: apt-get install -t stretch nginx(làm điều này qua sudo/ như root). Lợi nhuận!

• Như tôi đã mô tả trong (các) nhận xét của mình, để thậm chí giảm các rủi ro liên quan, bạn có thể sử dụng một cái gì đó như chroot hoặc một giải pháp container như LXC . Trong trường hợp bạn muốn đi chroottheo con đường, bạn phải thiết lập giao diện mạng bên trong đó: Để làm điều này, hãy xem blogpost này , ví dụ , giới thiệu về nó network namespaces.

• Hi vọng điêu nay co ich; trong trường hợp bạn có thêm câu hỏi, hãy liên hệ với tôi. Tôi sẽ đánh giá cao thông tin phản hồi và tôi quan tâm đến cách nó đi.

Một phương pháp khác là cài đặt OpenSSL 1.0.2 từ jessie-backports và sử dụng các bản dựng Ubuntu 16.04 LTS từ kho lưu trữ của nginx. Bằng cách đó, ít nhất bạn đang sử dụng gói OpenSSL được xây dựng cho Jessie.

Thêm vào /etc/apt/sources.list:

# jessie-backports, from stretch-level but with no dependencies
deb http://httpredir.debian.org/debian/ jessie-backports main contrib non-free
deb-src http://httpredir.debian.org/debian/ jessie-backports main contrib non-free

# Nginx repository - use Ubuntu 16.04 LTS Xenial to get packages compiled with OpenSSL 1.0.2
deb http://nginx.org/packages/mainline/ubuntu/ xenial nginx
deb-src http://nginx.org/packages/mainline/ubuntu/ xenial nginx

Sau đó chạy:

apt-get update
apt-get install -t jessie-backports openssl
apt-get install nginx

Điều này rõ ràng đặt bạn vào một cấu hình chính thức không được hỗ trợ, nhưng có lẽ tốt hơn là không có gói nào cả - và nó hoạt động với tôi. Ngoài ra, sử dụng repo của nginx có nghĩa là bạn nhận được các bản cập nhật mới.

Một phương pháp khác là sử dụng jessie-backports và sau đó xây dựng lại dễ dàng nginx

thêm vào /etc/apt/source.list backports

deb http://ftp.debian.org/debian jessie-backports main

và sau đó chạy như root

apt-get update
apt-get install -t jessie-backports openssl

và sau đó xây dựng lại nginx. Làm theo hướng dẫn trên https://wiki.debian.org/Bu kiếmAPackage

Đối với tôi cách dễ nhất để khắc phục điều này là sử dụng hình ảnh Nginx Docker khác, xem bản dựng Nginx chính thức trên Docker Hub . Bản dựng Docker Nginx mặc định sử dụng Debian Jessie để không khắc phục vấn đề của bạn, nhưng họ cũng cung cấp bản dựng thay thế dựa trên Alpine Linux . Các bản dựng mới nhất của nó sử dụng OpenSSL 1.0.2!

Do đó, giải pháp này giả định rằng bạn đã cài đặt Docker và vẫn ổn khi chạy Nginx trên Alpine Linuxthay vì Debian Jessie.

Để bắt đầu container Nginx của bạn:

sudo docker run --name nginx-container -p 80:80 -p 443:443 -v /path/to/your/nginx/directory/:/etc/nginx/ /path/to/your/files/to/serve/:/usr/share/nginx/html/ -d nginx:1.11-alpine

Giải thích ngắn để giúp bạn bắt đầu với Docker:

• docker run: tải xuống hình ảnh Docker (trong trường hợp này nginx:1.11-alpine) nếu bạn chưa có nó và bắt đầu một Docker container dựa trên hình ảnh này
• --name nginx-container: đặt tên cho bộ chứa Docker (bạn có thể xem tất cả các bộ chứa Docker đang chạy bằng cách sử dụng sudo docker pshoặc sử dụng sudo docker ps -ađể xem các bộ chứa đã dừng)
• -p 80:80 -p 443:443: liên kết các cổng 80 và 443 trên máy chủ của bạn với các cổng 80 và 443 tương ứng trong bộ chứa Docker
• -v /path/to/your/nginx/directory/:/etc/nginx/: gắn kết thư mục trên hệ thống máy chủ chứa cấu hình Nginx của bạn vào /etc/nginx/thư mục trong bộ chứa Docker
• /path/to/your/files/to/serve/:/usr/share/nginx/html/: gắn kết một thư mục trên hệ thống máy chủ của bạn có chứa các tệp bạn muốn Nginx phục vụ
• -d: khởi động container trong nền (bạn có thể dừng container bằng cách sử dụng docker stop nginx-container)
• nginx:1.11-alpine: sử dụng hình ảnh này để bắt đầu container của bạn từ ( hình ảnh Nginx Docker chính thức được liệt kê ở đây )

Cũng hữu ích:

• sử dụng sudo docker exec nginx-container <command>để chạy lệnh trong vùng chứa, ví dụ sudo docker exec nginx-container nginx -s reloadđể tải lại Nginx sau khi bạn thay đổi tệp cấu hình trên hệ thống máy chủ
• Hoặc sử dụng sudo docker exec -it nginx-container bashđể nhập vỏ bash trong thùng chứa để bạn có thể làm việc trực tiếp ở đó (không được đề xuất, nhưng đôi khi hữu ích)

Một cách khác là sử dụng BoringSSL thay vào đó, điều này không ảnh hưởng đến môi trường xung quanh OpenSSL. Dưới đây là chi tiết để tham khảo, https://www.admon.org/hardwares/enable-http2-support-for-nginx-on-debian-jessie

Trong tình huống của tôi, tôi đã sử dụng kho lưu trữ apt Dotdeb. Các hướng dẫn của trang web này cung cấp tùy chọn để thêm một kho lưu trữ cho phép bạn cài đặt Nginx với sự hỗ trợ đầy đủ của HTTP HTTP2. Phiên bản hiện tại là 1.14, một phần nhỏ phía sau bản phát hành cuối cùng, vì vậy bạn sẽ không bị bỏ lại quá xa (backport hiện tại là 1.10).