Debian jessie nginx z openssl 1.0.2, aby używać ALPN zamiast NPN

Używam Debiana Jessie na moim serwerze, a ostatnio zaktualizowałem go do nowego serwera WWW Nginx z obsługą http / 2 (Nginx 1.10). Na dzień dzisiejszy działa świetnie, a serwer WWW dostarcza treści za pomocą protokołu http2.

Czytałem, że Chrome upuszcza obsługę NPN i zezwala na ALPN dopiero po 15.5.2016. ALPN jest rozszerzeniem, które wymaga zainstalowanego openssl 1.0.2, ale na debianie jessie jest tylko openssl 1.0.1 (również na backportach debiana i innych repozytoriach, nie ma wersji openssl 1.0.2 dla tego debiana).

I jest problem - zaktualizowałem SPDY do http2 i za kilka dni będę musiał wyłączyć http2 i nie będę mógł używać SPDY, ponieważ ta wersja nignx ma tylko http2. Przeczytałem również, że ta wersja debiana utknie w openssl 1.0.1 i tylko debian stretch będzie miał openssl 1.0.2. Ale data premiery jest już prawie rok, a Chrome niedługo będzie obsługiwać, więc nie chcę tracić korzyści z protokołu http2.

Czy jest jakieś rozwiązanie, jak zainstalować openssl 1.0.2 w tym systemie, bez budowania własnej kompilacji (zła konserwacja) lub oczekiwania na repozytorium backports, aby je mieć? Nie chcę też dwóch wersji openssl w moim systemie, jeśli jedna z nich musi być połączona i obsługiwana ręcznie.

Dziękuję za wszelką pomoc.

Aktualizacja 2016/08/08: nginx in jessie-backports(wersja 1.9.10-1~bpo8+3została zbudowana przeciwko openssl >= 1.0.2~. Rozpoczęcie ALPNpracy, jeśli uruchomienie jessiewymaga tylko wyłączenia pakietów jessie-backports, nie trzeba już ich wyciągać stretch.

-

Oryginalna odpowiedź: Cóż, oto moja odpowiedź, zgodnie z komentarzami: Moim zdaniem, nie ma zbyt wielu sposobów na rozwiązanie tego na dziś, 2016/05/09. Zasadniczo musisz spróbować w jakiś sposób wprowadzić nowoczesność nginxdo swojego systemu, w zestawieniu z >= openssl 1.0.2~.

Jedyne dwie opcje, które obecnie widzę: albo kompilujesz dla siebie, czego nie chcesz robić, co jest całkiem zrozumiałe, albo wyciągasz z systemu nowoczesne pakiety Debian stretch. Wiąże się to z pewnym ryzykiem, ponieważ mieszasz stabilne środowisko z innym, ale moim zdaniem ryzyko to jest dość niskie, ponieważ używasz Debian.

Więc chodźmy i wypróbujmy to:

• Dodaj Debian stretchrepozytorium do swojego apt sources. Nie używaj /etc/apt/sources.listdo tego, ale zamiast tego użyj dedykowanego pliku, /etc/apt/sources.list.d/aby utrzymać go w czystości, osobiście używam stretch.list.

  Umieść tam te linie:

  deb http://httpredir.debian.org/debian/ stretch main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch main contrib non-free
  
  deb http://security.debian.org/ stretch/updates main contrib non-free
  deb-src http://security.debian.org/ stretch/updates main contrib non-free
  
  # stretch-updates, previously known as 'volatile'
  deb http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  

• Skonfiguruj apt pin, aby upewnić się, że pobierasz tylko pakiety, z Debian stretchktórych określasz. Plik, który ma być użyty do tego /etc/apt/preferences, znajduje się tam:

  Package: *
  Pin: release n=jessie
  Pin-Priority: 900
  
  Package: * 
  Pin: release a=jessie-backports
  Pin-Priority: 500
  
  Package: *
  Pin: release n=stretch
  Pin-Priority: 100
  

  (Być może będziesz musiał zmienić pakiety i priorytety, aby dopasować je do swojego środowiska).

• Uruchom apt-get update(przez sudo/ as root), aby zaktualizować pamięć podręczną pakietu.

• Zainstaluj nginxz Debian stretch: apt-get install -t stretch nginx(zrób to za pomocą sudo/ as root). Zysk!

• Jak opisałem w moich komentarzach, aby nawet zmniejszyć związane z tym ryzyko, możesz użyć czegoś takiego jak chroot lub rozwiązanie kontenerowe, takie jak LXC . Jeśli chcesz iść po chrootswojemu, musisz skonfigurować interfejs sieciowy wewnątrz: Aby to zrobić, spójrz na przykład na tego posta na blogu , który zawiera wprowadzenie network namespaces.

• Mam nadzieję że to pomoże; jeśli masz więcej pytań, skontaktuj się ze mną. Byłbym wdzięczny za opinie i jestem zainteresowany tym, jak to idzie.

Inną metodą jest instalacja OpenSSL 1.0.2 z jessie-backports i użycie kompilacji Ubuntu 16.04 LTS z własnego repozytorium nginx. W ten sposób korzystasz przynajmniej z pakietu OpenSSL zbudowanego dla Jessie.

Dodaj do /etc/apt/sources.list:

# jessie-backports, from stretch-level but with no dependencies
deb http://httpredir.debian.org/debian/ jessie-backports main contrib non-free
deb-src http://httpredir.debian.org/debian/ jessie-backports main contrib non-free

# Nginx repository - use Ubuntu 16.04 LTS Xenial to get packages compiled with OpenSSL 1.0.2
deb http://nginx.org/packages/mainline/ubuntu/ xenial nginx
deb-src http://nginx.org/packages/mainline/ubuntu/ xenial nginx

Następnie uruchomić:

apt-get update
apt-get install -t jessie-backports openssl
apt-get install nginx

To oczywiście wprowadza cię w oficjalnie nieobsługiwaną konfigurację, ale być może jest to lepsze niż brak pakietu - i zadziałało dla mnie. Ponadto korzystanie z repozytorium nginx oznacza, że ​​otrzymujesz nowe aktualizacje.

Inną metodą jest użycie jessie-backports, a następnie łatwa odbudowa nginx

dodaj do backportów /etc/apt/sources.list

deb http://ftp.debian.org/debian jessie-backports main

a następnie uruchom jako root

apt-get update
apt-get install -t jessie-backports openssl

a następnie odbuduj nginx. Postępuj zgodnie z instrukcjami na https://wiki.debian.org/BuildingAPackage

Dla mnie najprostszym sposobem, aby to naprawić, było użycie innego obrazu Dginer Nginx, zobacz oficjalną wersję Nginx na Docker Hub . Domyślna kompilacja Docker Nginx korzysta z Debian Jessie, więc nie rozwiąże problemu, ale oferuje także alternatywną kompilację opartą na systemie Alpine Linux . Najnowsze wersje używają OpenSSL 1.0.2!

To rozwiązanie zakłada zatem, że zainstalowałeś Docker i nie przeszkadza ci uruchamianie Nginx Alpine Linuxzamiast Debian Jessie.

Aby uruchomić swój kontener Nginx:

sudo docker run --name nginx-container -p 80:80 -p 443:443 -v /path/to/your/nginx/directory/:/etc/nginx/ /path/to/your/files/to/serve/:/usr/share/nginx/html/ -d nginx:1.11-alpine

Krótkie wyjaśnienie na początek w Docker:

• docker run: pobiera obraz Dockera (w tym przypadku nginx:1.11-alpine), jeśli jeszcze go nie masz i uruchamia kontener Docker na podstawie tego obrazu
• --name nginx-container: nadaje nazwę kontenerowi Docker (możesz wyświetlić wszystkie działające kontenery Docker za pomocą sudo docker pslub użyć, sudo docker ps -aaby wyświetlić również zatrzymane kontenery)
• -p 80:80 -p 443:443: wiąże porty 80 i 443 na hoście z odpowiednio portami 80 i 443 w kontenerze Docker
• -v /path/to/your/nginx/directory/:/etc/nginx/: montuje katalog w systemie hosta, który zawiera konfigurację Nginx, do /etc/nginx/katalogu w kontenerze Docker
• /path/to/your/files/to/serve/:/usr/share/nginx/html/: montuje katalog w systemie hosta, który zawiera pliki, które Nginx ma udostępnić
• -d: uruchamia kontener w tle (można go zatrzymać za pomocą docker stop nginx-container)
• nginx:1.11-alpine: użyj tego obrazu, aby rozpocząć kontener ( oficjalne obrazy doków Nginx są wymienione tutaj )

Przydatne również:

• użyj, sudo docker exec nginx-container <command>aby uruchomić polecenie w kontenerze, na przykład, sudo docker exec nginx-container nginx -s reloadaby ponownie załadować Nginx po zmianie plików konfiguracyjnych w systemie hosta
• Lub użyj, sudo docker exec -it nginx-container bashaby wprowadzić powłokę bash do kontenera, abyś mógł tam pracować bezpośrednio (niezalecane, ale czasem przydatne)

Alternatywnym sposobem jest użycie zamiast tego BoringSSL, co nie szkodzi otoczeniu OpenSSL. Oto szczegóły, na które można się powołać, https://www.admon.org/hardwares/enable-http2-support-for-nginx-on-debian-jessie

W mojej sytuacji korzystałem z repozytorium apt Dotdeb. Instrukcje na tej stronie dają opcję dodania repozytorium, które pozwala zainstalować Nginx z „pełną” obsługą HTTP2. Obecna wersja to 1.14, co jest jedną drobną różnicą w stosunku do ostatniego wydania, więc nie będziesz zbyt daleko w tyle (obecne backport to 1.10).