在Nginx中支援HTTP3.0/QUIC

語言: CN / TW / HK

HTTP3.0,也稱作HTTP over QUIC。核心是QUIC(讀音quick)協議,由Google在2015年提出的SPDY v3演化而來的新協議,傳統的HTTP協議是基於傳輸層TCP的協議,而QUIC是基於傳輸層UDP上的協議,可以定義成:HTTP3.0基於UDP的安全可靠的HTTP2.0協議,主要有以下特性:

圖片來自Nginx官博

  • 基於UDP減少了TCP三次握手及TLS握手時間
  • 解決多路複用丟包時的線頭阻塞問題
  • 優化重傳策略
  • 流量控制
  • 連線遷移

關於HTTP3.0相關的詳細解釋,這裡就不在多講的,各位感興趣的讀者可以看下我之前的一篇文章《HTTP發展史(HTTP1.1,HTTPS,SPDY,HTTP2.0,QUIC,HTTP3.0)》,本文主要講解一下如何在Nginx中開啟HTTP3.0的支援。

方案選擇

對於HTTP3.0,由於整個協議還是處於草案階段,目前來說沒有一個完整的標準,所以各大瀏覽器廠商還只是在開發者版本中才會支援,例如Chrome的金絲雀版本Chrome Canary,並且各個伺服器廠商也是在持續跟進中,對於Nginx來說,支援HTTP3.0目前有兩種方案可以選擇:

  • 基於Cloudflare的分支版本Nginx:對於HTTP3.0/QUIC,Cloudflare始終走在了前列,藉助於自家維護的開源專案quic,從Nginx中拉出了一個分支來開發,並編譯出了對HTTP3.0支援的Nginx伺服器。
  • Nginx官方Nginx-quic專案:今年6月10日,Nginx官博釋出公告稱已經在研發支援HTTP3.0/QUIC協議的工作,目前專案維護在nginx-quic,該專案和基於Cloudflare基於Nginx的分支並無關係,算是相對於正統的方案。

基於此,本文將會以部署nginx-quic的方式來讓Nginx支援HTTP3.0/QUIC。

改造過程

我們最終的目的是得到nginx-quic版本的nginx可執行檔案,需要經過一系列的安裝和編譯,期間可能會遇到很多問題,如果各位讀者不想實際操作,可以直接用我編譯好的版本nginx-quic.linux-x86_64.zip 傳送門

準備工作:

以centos7為例,下載nginx-quic原始碼傳送門,下載完成之後,需要進行編譯安裝,由於nginx-quic依賴boringSSL,所以還需下載boringSSL原始碼傳送門,然後同樣需要編譯安裝boringSSL,執行這些操作之前,需要在linux上安裝一些前置模組,通過yum來安裝,執行以下命令:

sudo yum install build-essential mercurial psmisc lsb-release cmake golang libunwind-dev git libpcre3-dev zlib1g-dev
複製程式碼

什麼是boringSSL:

對於Nginx來說,在編譯時需要配置對於的SSL庫,不管是HTTP3.0還是HTTP2.0,始終都要基於HTTPS,而加密演算法這塊主要有OpenSSL來提供,而BoringSSL是谷歌建立的OpenSSL分支,用於支援TLS1.3的UDP協議0-RTT資料傳輸的加密演算法(可以理解成TLS1.3是標準協議,BoringSSL是實現工具),BoringSSL的一些特性會在合適的時機同步給OpenSSl。

編譯安裝boringSSL:

cd boringssl-master/
mkdir build
cd build
cmake ../
make
複製程式碼

執行之後,可以在build/crypto,和build/ssl下獲得對應的檔案,如下圖:

注意編譯安裝boringSSL需要使用cmake3以上的版本。

編譯安裝nginx-quic:

cd nginx-quic/
./auto/configure --prefix=/root/nginx --with-http_ssl_module --with-http_v2_module --with-http_v3_module --with-cc-opt="-I../boringssl-master/include" --with-ld-opt="-L../boringssl-master/build/ssl -L../boringssl-master/build/crypto"
make 
make install
複製程式碼

執行命令之後,會在/root/nginx目錄下生成對應的nginx可執行檔案,如下圖:

其中,配置檔案在conf/下,nginx命令在sbin/目錄下。

修改配置檔案,啟動nginx:

vi /root/nginx/conf/nginx.conf
複製程式碼

新增http3配置:

server {
    listen 443 ssl http2;              # TCP listener for HTTP/2
    listen 443 http3 reuseport;  # UDP listener for QUIC+HTTP/3

    ssl_protocols       TLSv1.3; # QUIC requires TLS 1.3
    ssl_certificate     ssl/www.example.com.crt;
    ssl_certificate_key ssl/www.example.com.key;

    add_header Alt-Svc 'quic=":443"; h3-27=":443";h3-25=":443"; h3-T050=":443"; h3-Q050=":443";h3-Q049=":443";h3-Q048=":443"; h3-Q046=":443"; h3-Q043=":443"'; # Advertise that QUIC is available
}
複製程式碼

其中,要求使用TLSv1.3版本,並且當瀏覽器不支援http3時,可以選擇http2。 另外,add_header Alt-Svc新增這個返回頭不可缺少。

  • Alt-Svc 全稱為“Alternative-Service”,直譯為“備選服務”。該頭部列舉了當前站點備選的訪問方式列表,讓伺服器可以告訴客戶端 “看,我在這個主機的這個埠用這個協議提供相同的服務”。一般用於在提供 “QUIC” 等新興協議支援的同時,實現向下相容。參考MDN

驗證HTTP3生效:

由於目前瀏覽器對HTTP3.0/QUIC的支援性有限,可以通過http3check.net/來驗證站點啟用HTTP3是否成功,以我的站點為例:

坑點總結

整個過程看似很簡單,但是真正配置過程中遇到了不少坑,前前後後加上搜索問題花了一天半的時間才真正解決,把這些問題記錄下來,分享給大家。

開啟UDP的443埠:

由於quic協議使用的是UDP的443埠,這個埠對於centos7來說是預設關閉的,可以採用下面命令開啟:

firewall-cmd --zone=public --add-port=443/udp --permanent
複製程式碼

如果專案託管在阿里雲上,需要更新ECS的安全組策略來對外開啟對應的協議和埠,如下圖:

TLS版本向下相容:

由於使用了TLS 1.3,所以會修改對應加密演算法,但是對於一些瀏覽器而言還不支援這麼高的版本,尤其是對於蘋果的Safari,所以,在配置nginx配置檔案時,要多配置幾個版本向下相容,程式碼如下:

ssl_protocols       TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
複製程式碼

-Werror錯誤問題:

在編譯nginx-quic時,有時會遇到如下錯誤:


cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
	-o objs/src/os/unix/ngx_linux_sendfile_chain.o \
	src/os/unix/ngx_linux_sendfile_chain.c
cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
	-o objs/src/event/ngx_event_openssl.o \
	src/event/ngx_event_openssl.c
cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
	-o objs/src/event/ngx_event_openssl_stapling.o \
	src/event/ngx_event_openssl_stapling.c
cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
	-o objs/src/event/ngx_event_quic.o \
	src/event/ngx_event_quic.c
cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
	-o objs/src/event/ngx_event_quic_transport.o \
	src/event/ngx_event_quic_transport.c
src/event/ngx_event_quic_transport.c: In function ‘ngx_quic_create_stream’:
src/event/ngx_event_quic_transport.c:54:9: error: comparison is always true due to limited range of data type [-Werror=type-limits]
      : ((uint32_t) value) <= 16383 ? 2                                        \
         ^
src/event/ngx_event_quic_transport.c:1299:15: note: in expansion of macro ‘ngx_quic_varint_len’
         len = ngx_quic_varint_len(sf->type);
               ^
cc1: all warnings being treated as errors
make[1]: *** [objs/src/event/ngx_event_quic_transport.o] Error 1
make[1]: Leaving directory `/root/nginx-quic'
make: *** [build] Error 2
[root@iz2zehmi1ztqtx8tg6ca7gz nginx-quic]#
複製程式碼

解決辦法是:

cd nginx-quic\objs

vi Makefile

複製程式碼

找到 CFLAGS = -pipe -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include將-Werror引數去掉。

reuseport只需配置一次:

假如有多個域名需要開啟http3,則reuseport建議只在根域名上配置,如果一個配置檔案中出現多個reuseport,會報錯,配置如下:

    server {
        
        listen 443 ssl http2;              # TCP listener for HTTP/2
        listen 443 http3 reuseport;  # UDP listener for QUIC+HTTP/3

        server_name  www.nihaoshijie.com.cn default_server;

    }

    server {

        listen 443 ssl http2;        # TCP listener for HTTP/2
        listen 443 http3;  # UDP listener for QUIC+HTTP/3

        server_name  app.nihaoshijie.com.cn;

    }
複製程式碼

編譯安裝時的效能問題:

如果編譯安裝時報類似下面的錯誤,可能是主機的內容不足,需要關閉一些執行的程式來往下進行。

...
c++: internal compiler error: Killed (program cc1plus)
複製程式碼

快開啟你的HTTP3之旅吧,碼字不易,如果本文對你有幫助,點贊支援一下~