Debian jessie nginx con openssl 1.0.2 per usare ALPN piuttosto che NPN

Sto eseguendo debian jessie sul mio server e recentemente aggiornato al nuovo server Web nginx con supporto http / 2 (nginx 1.10). Come oggi, funziona benissimo e il webserver fornisce contenuti con protocollo http2.

Ho letto che Chrome sta abbandonando il supporto NPN e consente ALPN solo dopo il 15.5.2016. ALPN è un'estensione, che richiede openssl 1.0.2 installato, ma su debian jessie è solo openssl 1.0.1 (anche su backport debian e altri repository, per questo debian non esiste una versione di openssl 1.0.2).

E c'è il problema: sono passato da SPDY a http2 e in pochi giorni dovrò disattivare http2 e non posso usare SPDY perché questa versione di nignx ha solo http2. Ho anche letto che questa versione di debian sarà bloccata con openssl 1.0.1 e che solo il tratto debian avrà openssl 1.0.2. Ma per la data di rilascio c'è quasi un anno e Chrome abbandonerà presto il supporto, quindi non voglio perdere il vantaggio del protocollo http2.

Esiste una soluzione, come installare openssl 1.0.2 su questo sistema, senza creare la propria build (cattiva manutenzione) o attendere che il repository backport lo abbia? Inoltre, non voglio due versioni di openssl sul mio sistema se una di esse deve essere collegata e gestita manualmente.

Grazie per qualsiasi aiuto.

Aggiornamento 2016/08/08: nginx in jessie-backports(versione 1.9.10-1~bpo8+3contro la quale è stato creato openssl >= 1.0.2~. ALPNOra funziona se l'esecuzione jessierichiede solo i pacchetti da jessie-backports, non è più necessario estrarli stretch.

-

Risposta originale: ecco la mia risposta, secondo i commenti: a mio avviso, non ci sono molti modi per risolverlo ad oggi, 2016/05/09. Fondamentalmente devi provare in qualche modo per ottenere un moderno nginxnel tuo sistema, compilato contro >= openssl 1.0.2~.

Le uniche due opzioni che vedo attualmente: o compili per te stesso, cosa che non vuoi fare, il che è abbastanza comprensibile, o estrai pacchetti moderni dal Debian stretchtuo sistema. Ciò comporta alcuni rischi, perché stai mescolando un ambiente stabile con un altro, ma secondo me questi rischi sono piuttosto bassi, perché stai usando Debian.

Quindi, andiamo a provare questo:

• Aggiungi il Debian stretchrepository al tuo apt sources. Non usare /etc/apt/sources.listper questo, ma invece usa un file dedicato all'interno /etc/apt/sources.list.d/per mantenerlo pulito, personalmente sto usando stretch.list.

  Metti queste linee lì dentro:

  deb http://httpredir.debian.org/debian/ stretch main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch main contrib non-free
  
  deb http://security.debian.org/ stretch/updates main contrib non-free
  deb-src http://security.debian.org/ stretch/updates main contrib non-free
  
  # stretch-updates, previously known as 'volatile'
  deb http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  

• Configura apt pinning per assicurarti di estrarre solo i pacchetti di Debian stretchcui stai specificando. Il file da utilizzare per questo è /etc/apt/preferences, lì dentro, mettere:

  Package: *
  Pin: release n=jessie
  Pin-Priority: 900
  
  Package: * 
  Pin: release a=jessie-backports
  Pin-Priority: 500
  
  Package: *
  Pin: release n=stretch
  Pin-Priority: 100
  

  (Potrebbe essere necessario modificare le suite e le priorità per adattarle al proprio ambiente.)

• Esegui apt-get update(tramite sudo/ as root) per aggiornare la cache del pacchetto.

• Installa nginxda Debian stretch: apt-get install -t stretch nginx(fallo tramite sudo/ as root). Profitto!

• Come ho descritto nei miei commenti, anche per ridurre i rischi, potresti usare qualcosa come un chroot o una soluzione contenitore come LXC . Nel caso in cui tu voglia seguire la chrootstrada, devi impostare un'interfaccia di rete al suo interno: per fare questo, dai un'occhiata a questo post del blog, ad esempio , che fornisce un'introduzione a network namespaces.

• Spero che sia di aiuto; nel caso abbiate più domande, non esitate a contattarmi. Gradirei feedback e sono interessato a come va.

Un altro metodo consiste nell'installare OpenSSL 1.0.2 da jessie-backports e utilizzare le build Ubuntu 16.04 LTS dal repository di nginx. In questo modo stai almeno usando un pacchetto OpenSSL creato per Jessie.

Aggiungere a /etc/apt/sources.list:

# jessie-backports, from stretch-level but with no dependencies
deb http://httpredir.debian.org/debian/ jessie-backports main contrib non-free
deb-src http://httpredir.debian.org/debian/ jessie-backports main contrib non-free

# Nginx repository - use Ubuntu 16.04 LTS Xenial to get packages compiled with OpenSSL 1.0.2
deb http://nginx.org/packages/mainline/ubuntu/ xenial nginx
deb-src http://nginx.org/packages/mainline/ubuntu/ xenial nginx

Quindi eseguire:

apt-get update
apt-get install -t jessie-backports openssl
apt-get install nginx

Questo ovviamente ti mette in una configurazione ufficialmente non supportata, ma forse è meglio che non avere affatto un pacchetto - e ha funzionato per me. Inoltre, l'utilizzo del repository di nginx significa ottenere nuovi aggiornamenti.

Un altro metodo consiste nell'utilizzare jessie-backport e quindi ricostruire facilmente nginx

aggiungere a /etc/apt/sources.list backport

deb http://ftp.debian.org/debian jessie-backports main

e quindi esegui come root

apt-get update
apt-get install -t jessie-backports openssl

e quindi ricostruire nginx. Seguire le istruzioni su https://wiki.debian.org/BuildingAPackage

Per me il modo più semplice per risolvere questo problema era usare una diversa immagine Docker di Nginx, vedi la build ufficiale di Nginx su Docker Hub . La build Docker Nginx predefinita utilizza Debian Jessie in modo che non risolva il problema, ma offre anche una build alternativa basata su Alpine Linux . Le sue ultime build usano OpenSSL 1.0.2!

Questa soluzione presuppone quindi che Docker sia stato installato e che sia corretto eseguire Nginx Alpine Linuxanziché Debian Jessie.

Per avviare il contenitore Nginx:

sudo docker run --name nginx-container -p 80:80 -p 443:443 -v /path/to/your/nginx/directory/:/etc/nginx/ /path/to/your/files/to/serve/:/usr/share/nginx/html/ -d nginx:1.11-alpine

Breve spiegazione per iniziare con Docker:

• docker run: scarica l'immagine Docker (in questo caso nginx:1.11-alpine) se non lo hai ancora e avvia un contenitore Docker basato su questa immagine
• --name nginx-container: dà un nome al contenitore Docker (è possibile visualizzare tutti i contenitori Docker in esecuzione utilizzando sudo docker pso utilizzare sudo docker ps -aanche per visualizzare i contenitori arrestati)
• -p 80:80 -p 443:443: collega le porte 80 e 443 sul computer host rispettivamente alle porte 80 e 443 nel contenitore Docker
• -v /path/to/your/nginx/directory/:/etc/nginx/: monta la directory sul sistema host che contiene la configurazione di Nginx sulla /etc/nginx/directory nel contenitore Docker
• /path/to/your/files/to/serve/:/usr/share/nginx/html/: monta una directory sul tuo sistema host che contiene file che vuoi che Nginx serva
• -d: avvia il contenitore in background (è possibile arrestare il contenitore utilizzando docker stop nginx-container)
• nginx:1.11-alpine: usa questa immagine per iniziare il tuo contenitore da (le immagini ufficiali di Nginx Docker sono elencate qui )

Utile anche:

• utilizzare sudo docker exec nginx-container <command>per eseguire un comando nel contenitore, ad esempio sudo docker exec nginx-container nginx -s reloadper ricaricare Nginx dopo aver modificato i file di configurazione sul sistema host
• Oppure usa sudo docker exec -it nginx-container bashper inserire una shell bash nel contenitore in modo da poter lavorare direttamente lì (non raccomandato, ma a volte utile)

Un modo alternativo è usare BoringSSL invece, che non danneggia l'ambiente OpenSSL. Ecco i dettagli a cui fare riferimento, https://www.admon.org/hardwares/enable-http2-support-for-nginx-on-debian-jessie

Nella mia situazione ho usato il repository apt di Dotdeb. Le istruzioni di questo sito Web offrono un'opzione per aggiungere un repository che consente di installare Nginx con il supporto HTTP2 "completo". La versione attuale è la 1.14, che è una delle secondarie rispetto all'ultima versione, quindi non sarai troppo indietro (il backport attuale è la 1.10).