ทำไมเซิร์ฟเวอร์ของฉันไม่รองรับ ALPN

ฉันใช้เซิร์ฟเวอร์ LTS Ubuntu 16.04.1 โดยใช้ NGINX 1.11.9 และ openssl 1.0.2g

ตามที่ทุกอย่างที่ฉันอ่านรุ่นเหล่านี้ควรสนับสนุน ALPN แต่เมื่อฉันรันการทดสอบเครื่องมือทดสอบ HTTP / 2 ของ KeyCDNฉันได้รับ "ไม่รองรับ ALPN"

และเมื่อฉันดำเนินการecho | openssl s_client -alpn h2 -connect example.com:443 | grep ALPNฉันจะได้รับ:

depth=3 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
verify return:1
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Certification Authority
verify return:1
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Domain Validation Secure Server CA
verify return:1
depth=0 OU = Domain Control Validated, OU = EssentialSSL Wildcard, CN = *.example.com
verify return:1
No ALPN negotiated
DONE

ไม่มีการเปิดใช้งาน ALPN ปิดใช้งาน HTTP2 จากการเปิดใช้งานอย่างเต็มที่ ฉันจะเปิดใช้งาน ALPN ได้อย่างไร

แก้ไข

nginx -V แสดงให้เห็นว่า:

nginx version: nginx/1.11.9
built by gcc 4.8.4 (Ubuntu 4.8.4-2ubuntu1~14.04.3)
built with OpenSSL 1.0.1f 6 Jan 2014 (running with OpenSSL 1.0.2g  1 Mar 2016)
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-g -O2 -fstack-protector --param=ssp-buffer-size=4 -Wformat -Werror=format-security -Wp,-D_FORTIFY_SOURCE=2 -fPIC' --with-ld-opt='-Wl,-Bsymbolic-functions -Wl,-z,relro -Wl,-z,now -Wl,--as-needed -pie'

แก้ไข # 2

openssl version -a เอาท์พุท:

OpenSSL 1.0.2h  3 May 2016
built on: reproducible build, date unspecified
platform: linux-x86_64
options:  bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx)
compiler: gcc -I. -I.. -I../include  -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM -DECP_NISTZ256_ASM
OPENSSLDIR: "/usr/local/ssl"

ตามที่ @AlexyTen ชี้ให้เห็นถึงสาเหตุที่แท้จริงแม้ว่าฉันจะติดตั้ง OpenSSL 1.0.2g ไปแล้วก็ตาม NGINX จำเป็นต้องสร้างด้วย OpenSSL และสร้างขึ้นด้วย 1.0.1f ซึ่งไม่รองรับ ALPN

NGINX จำเป็นต้องสร้างขึ้นมาใหม่ด้วย OpenSSL 1.0.2 ขึ้นไปและติดตั้งใหม่ ฉันพบบทเรียนออนไลน์ไม่กี่ครั้ง แต่เนื่องจากฉันใช้เซิร์ฟเวอร์ Digital Ocean ฉันจึงใช้หัวข้อความช่วยเหลือนี้เพื่อแก้ปัญหาสำหรับฉัน: https://www.digitalocean.com/community/quunions/questions/how-to-get-already- ติดตั้ง-Nginx ต่อการใช้งาน-OpenSSL-1-0-2 สำหรับ alpn

ก่อนอื่นฉันต้องติดตั้งไลบรารีใหม่สองสามอัน:

apt-get install libgeoip-dev libgd2-xpm-dev libperl-dev

ฉันเพิ่งรันสคริปต์นี้: https://gist.github.com/AJMaxwell/f6793605068813aae888216b02364d85

ฉันรีสตาร์ทโดยใช้sudo shutdown -r nowและวิ่งnginx -Vอีกครั้ง ครั้งนี้มันทำให้ฉัน:

nginx version: nginx/1.11.0
built by gcc 5.4.0 20160609 (Ubuntu 5.4.0-6ubuntu1~16.04.4)
built with OpenSSL 1.0.2h  3 May 2016
TLS SNI support enabled
configure arguments: --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-http_ssl_module --with-http_realip_module --with-http_addition_module --with-http_sub_module --with-http_dav_module --with-http_flv_module --with-http_mp4_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_random_index_module --with-http_secure_link_module --with-http_stub_status_module --with-http_auth_request_module --with-http_xslt_module=dynamic --with-http_image_filter_module=dynamic --with-http_geoip_module=dynamic --with-http_perl_module=dynamic --with-threads --with-stream --with-stream_ssl_module --with-http_slice_module --with-mail --with-mail_ssl_module --with-file-aio --with-ipv6 --with-http_v2_module --with-openssl=/root/openssl-1.0.2h --add-module=/root/ngx_pagespeed-release-1.11.33.2-beta

ฉันยังรันการทดสอบ http2 ของ keycdn อีกครั้งและผ่านไป

ฉันสร้างสคริปต์ทุบตีที่ดาวน์โหลดรวบรวมและติดตั้ง Nginx โดยอัตโนมัติด้วย OpenSSL บน Debian / Ubuntu, RHEL / CentOS และ distros อื่น ๆ ไบนารีที่ได้นั้นตรงกับที่กระจาย Nginx ผ่านที่เก็บอย่างเป็นทางการยกเว้นว่ามันจะมาพร้อมกับ OpenSSL เวอร์ชันล่าสุด

สคริปต์ไม่ได้แก้ไขการติดตั้ง OpenSSL เพียงไบนารี Nginx มันเป็นตัวเลือกที่ดีถ้าคุณไม่ต้องการพึ่งพาแพ็คเกจที่สร้างและแจกจ่ายโดยแหล่งที่ไม่เป็นทางการ

https://github.com/victordzmr/nginx-compiler

ติดตั้ง nginx ppa และรองรับ ALPN:

sudo add-apt-repository ppa:nginx/stable
sudo apt update
sudo apt dist-upgrade -y