Debian jessie nginx mit openssl 1.0.2 verwendet ALPN anstelle von NPN

Ich verwende debian jessie auf meinem Server und habe kürzlich ein Upgrade auf einen neuen nginx-Webserver mit http / 2-Unterstützung (nginx 1.10) durchgeführt. Wie heute funktioniert es hervorragend und der Webserver liefert Inhalte mit dem http2-Protokoll.

Ich habe gelesen, dass Chrome die NPN-Unterstützung einstellt und ALPN erst nach dem 15.5.2016 zulässt. ALPN ist eine Erweiterung, für die openssl 1.0.2 installiert sein muss, aber unter debian ist jessie nur openssl 1.0.1 (auch unter debian-backports und anderen repositories gibt es keine openssl 1.0.2-version für dieses debian).

Und da ist das Problem - ich habe ein Upgrade von SPDY auf http2 durchgeführt und in wenigen Tagen muss ich http2 ausschalten und kann SPDY nicht verwenden, da diese Version von nignx nur http2 hat. Ich habe auch gelesen, dass diese Version von Debian bei OpenSSL 1.0.1 bleiben wird und nur Debian Stretch OpenSSL 1.0.2 haben wird. Aber zum Veröffentlichungsdatum ist es fast ein Jahr und Chrome wird bald den Support einstellen, sodass ich den Vorteil des http2-Protokolls nicht verlieren möchte.

Gibt es eine Lösung, wie Sie openssl 1.0.2 auf diesem System installieren können, ohne ein eigenes Build (schlechte Wartung) zu erstellen oder darauf zu warten, dass das Backports-Repository es hat? Ich möchte auch nicht zwei Versionen von openssl auf meinem System, wenn eine von ihnen manuell verknüpft und gepflegt werden muss.

Danke für jede Hilfe.

Update 08.08.2016: nginx in jessie-backports(Version 1.9.10-1~bpo8+3wurde gegen gebaut openssl >= 1.0.2~. ALPNJetzt zum Laufen zu kommen, jessieerfordert nur das Herausziehen der Pakete, es jessie-backportsist nicht mehr nötig, die Pakete herauszuziehen stretch.

-

Originale Antwort: Nun, hier ist meine Antwort laut den Kommentaren: Meiner Meinung nach gibt es ab heute, dem 09.05.2016, nicht so viele Möglichkeiten, dies zu lösen. Grundsätzlich muss man irgendwie versuchen , eine moderne nginxin Ihr System zu bekommen , gegen die kompiliert wird >= openssl 1.0.2~.

Die einzigen zwei Optionen, die ich derzeit sehe: Entweder kompilieren Sie für sich selbst, was Sie nicht tun möchten, was durchaus verständlich ist, oder Sie ziehen moderne Pakete aus Debian stretchIhrem System heraus. Dies birgt einige Risiken, da Sie eine stabile Umgebung mit einer anderen mischen, aber meiner Meinung nach sind diese Risiken ziemlich gering, da Sie verwenden Debian.

Also, lass uns das ausprobieren:

• Fügen Sie das Debian stretchRepository zu Ihrem hinzu apt sources. Verwenden Sie /etc/apt/sources.listdies nicht, sondern verwenden Sie stattdessen eine dedizierte Datei /etc/apt/sources.list.d/, um sie sauber zu halten, die ich persönlich verwende stretch.list.

  Setzen Sie diese Zeilen dort hinein:

  deb http://httpredir.debian.org/debian/ stretch main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch main contrib non-free
  
  deb http://security.debian.org/ stretch/updates main contrib non-free
  deb-src http://security.debian.org/ stretch/updates main contrib non-free
  
  # stretch-updates, previously known as 'volatile'
  deb http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  

• Richten Sie apt pinning ein , um sicherzustellen, dass nur Pakete eingezogen werden, für Debian stretchdie Sie Angaben machen . Die dafür zu verwendende Datei enthält /etc/apt/preferences:

  Package: *
  Pin: release n=jessie
  Pin-Priority: 900
  
  Package: * 
  Pin: release a=jessie-backports
  Pin-Priority: 500
  
  Package: *
  Pin: release n=stretch
  Pin-Priority: 100
  

  (Möglicherweise müssen Sie die Suites und Prioritäten ändern, um sie an Ihre Umgebung anzupassen.)

• Führen Sie apt-get update(via sudo/ as root) aus, um den Paket-Cache zu aktualisieren.

• Installieren nginxvon Debian stretch: apt-get install -t stretch nginx(mache dies über sudo/ als root). Profitieren!

• Wie ich in meinen Kommentaren beschrieben habe, könnten Sie, um die damit verbundenen Risiken noch zu verringern, so etwas wie eine Chroot oder eine Container-Lösung wie LXC verwenden . Wenn Sie den chrootWeg gehen möchten , müssen Sie dort eine Netzwerkschnittstelle einrichten: Schauen Sie sich dazu zum Beispiel diesen Blogpost an , der eine Einführung in gibt network namespaces.

• Hoffe das hilft; Wenn Sie weitere Fragen haben, können Sie mich gerne kontaktieren. Ich würde mich über Feedback freuen und bin daran interessiert, wie es geht.

Eine andere Methode ist die Installation von OpenSSL 1.0.2 aus jessie-backports und die Verwendung von Ubuntu 16.04 LTS-Builds aus dem nginx-eigenen Repository. Auf diese Weise verwenden Sie zumindest ein OpenSSL-Paket, das für Jessie erstellt wurde.

Hinzufügen zu /etc/apt/sources.list:

# jessie-backports, from stretch-level but with no dependencies
deb http://httpredir.debian.org/debian/ jessie-backports main contrib non-free
deb-src http://httpredir.debian.org/debian/ jessie-backports main contrib non-free

# Nginx repository - use Ubuntu 16.04 LTS Xenial to get packages compiled with OpenSSL 1.0.2
deb http://nginx.org/packages/mainline/ubuntu/ xenial nginx
deb-src http://nginx.org/packages/mainline/ubuntu/ xenial nginx

Dann renne:

apt-get update
apt-get install -t jessie-backports openssl
apt-get install nginx

Dies versetzt Sie offensichtlich in eine offiziell nicht unterstützte Konfiguration, aber vielleicht ist es besser, überhaupt kein Paket zu haben - und es hat bei mir funktioniert. Wenn Sie das Repo von Nginx verwenden, erhalten Sie außerdem neue Updates.

Eine andere Methode besteht darin, Jessie-Backports zu verwenden und dann einfach Nginx neu zu erstellen

Fügen Sie zu /etc/apt/sources.list backports hinzu

deb http://ftp.debian.org/debian jessie-backports main

und dann als root ausführen

apt-get update
apt-get install -t jessie-backports openssl

und dann Nginx neu erstellen. Befolgen Sie die Anweisungen auf https://wiki.debian.org/BuildingAPackage

Für mich war es die einfachste Möglichkeit, dies zu beheben, ein anderes Nginx Docker-Image zu verwenden. Weitere Informationen finden Sie im offiziellen Nginx-Build auf Docker Hub . Der Standard-Build von Docker Nginx verwendet Debian Jessie, damit Ihr Problem nicht behoben wird. Sie bieten jedoch auch einen alternativen Build auf Basis von Alpine Linux . Die neuesten Builds verwenden OpenSSL 1.0.2!

Diese Lösung geht also davon aus, dass Sie Docker installiert und sind gut mit Nginx läuft auf Alpine Linuxstatt Debian Jessie.

So starten Sie Ihren Nginx-Container:

sudo docker run --name nginx-container -p 80:80 -p 443:443 -v /path/to/your/nginx/directory/:/etc/nginx/ /path/to/your/files/to/serve/:/usr/share/nginx/html/ -d nginx:1.11-alpine

Kurze Erklärung zum Einstieg in Docker:

• docker run: Lädt das Docker-Image herunter (in diesem Fall nginx:1.11-alpine), wenn Sie es noch nicht haben, und startet einen Docker-Container, der auf diesem Image basiert
• --name nginx-container: gibt dem Docker-Container einen Namen (Sie können alle laufenden Docker-Container anzeigen, indem Sie verwenden sudo docker psoder verwenden, sudo docker ps -aum auch angehaltene Container anzuzeigen)
• -p 80:80 -p 443:443: Bindet die Ports 80 und 443 auf Ihrem Hostcomputer an die Ports 80 und 443 im Docker-Container
• -v /path/to/your/nginx/directory/:/etc/nginx/: Hängt das Verzeichnis auf Ihrem Host-System, das Ihre Nginx-Konfiguration enthält, in das /etc/nginx/Verzeichnis im Docker-Container ein
• /path/to/your/files/to/serve/:/usr/share/nginx/html/: Hängt ein Verzeichnis auf Ihrem Host-System an, das Dateien enthält, die Nginx bereitstellen soll
• -d: startet den Container im Hintergrund (Sie können den Container mit stoppen docker stop nginx-container)
• nginx:1.11-alpine: Verwenden Sie dieses Bild, um Ihren Container zu starten (die offiziellen Nginx Docker-Bilder sind hier aufgelistet ).

Auch nützlich:

• Verwenden Sie sudo docker exec nginx-container <command>diese Option, um einen Befehl im Container auszuführen, z. B. sudo docker exec nginx-container nginx -s reloadum Nginx neu zu laden, nachdem Sie die Konfigurationsdateien auf dem Hostsystem geändert haben
• Oder sudo docker exec -it nginx-container bashgeben Sie eine Bash-Shell in den Container ein, damit Sie direkt dort arbeiten können (nicht empfohlen, aber manchmal nützlich).

Eine alternative Möglichkeit ist die Verwendung von BoringSSL, wodurch die OpenSSL-Umgebung nicht beeinträchtigt wird. Einzelheiten finden Sie unter https://www.admon.org/hardwares/enable-http2-support-for-nginx-on-debian-jessie

In meiner Situation habe ich das Dotdeb Apt-Repository verwendet. Die Anweisungen dieser Website bieten die Möglichkeit, ein Repository hinzuzufügen, mit dem Sie Nginx mit „vollständiger“ HTTP2-Unterstützung installieren können. Die aktuelle Version ist 1.14. Dies ist eine Nebenversion hinter der letzten Version, sodass Sie nicht zu weit zurückliegen (der aktuelle Backport ist 1.10).