或許是 Nginx 上配置 HTTP2 最實在的教程了

導讀	從 2015 年 5 月 14 日 HTTP/2 協議正式版的發佈到如今已經快有一年了，愈來愈多的網站部署了 HTTP2，HTTP2 的普遍應用帶來了更好的瀏覽體驗，只要是 Modern 瀏覽器都支持，因此部署 HTTP2 並不會帶來太多困擾。

雖然 h2 有 h2c （HTTP/2 Cleartext） 能夠經過非加密通道傳輸，可是支持的瀏覽器初期仍是比較少的，因此目前部署 h2 仍是須要走加密的，不過因爲 Let’s Encrypt 大力推行免費證書和證書的廉價化，部署 h2 的成本並不高。

介紹

HTTP 2.0即超文本傳輸協議 2.0，是下一代HTTP協議。是由互聯網工程任務組（IETF）的Hypertext Transfer Protocol Bis (httpbis)工做小組進行開發。是自1999年http1.1發佈後的首個更新，HTTP/2 協議是從 SPDY 演變而來，SPDY 已經完成了使命並很快就會退出歷史舞臺（例如 Chrome 將在「2016 年初結束對 SPDY 的支持」；Nginx、Apache 也已經全面支持 HTTP/2 ，並也再也不支持 SPDY），通常的你們把 HTTP2 簡稱爲 h2，儘管有些朋友可能不怎麼願意，可是這個簡稱已經默認化了，特別是體如今瀏覽器對 HTTP2 都是這個簡寫的。

配置

普通的 HTTPS 網站瀏覽會比 HTTP 網站稍微慢一些，由於須要處理加密任務，而配置了 h2 的 HTTPS，在低延時的狀況下速度會比 HTTP 更快更穩定！

如今電信劫持事件頻發，網站部署了 HTTPS 加密後能夠杜絕大部分劫持，但不是徹底。像電子商務行業對 HTTPS 加密但是標配啊，所以部署 h2 更是勢在必行。

Web 服務器

說明

默認編譯的 Nginx 並不包含 h2 模塊，咱們須要加入參數來編譯，截止發文，Nginx 1.9 開發版及以上版本源碼須要本身加入編譯參數，從軟件源倉庫下載的則默認編譯。 Tengine 能夠同時部署 h2 和 SPDY 保證兼容性，Nginx 則是一刀切再也不支持 SPDY。

安裝/編譯

若是你編譯的 Nginx 不支持，那麼在

 ./configure

中加入：

--with-http_v2_module

，若是沒有 SSL 支持，還須要加入

 --with-http_ssl_module

而後 make && make install 便可。

配置

主要是配置 Nginx 的 server 塊， 。
修改相關虛擬機的

.conf

文件，通常在

 /usr/local/nginx/conf/vhost/

或者

/etc/nginx/conf/

，具體參考你的環境指導，不懂請回復。

server {
listen 443 ssl http2 default_server;
server_name www.mf8.biz;

ssl_certificate /path/to/public.crt;
ssl_certificate_key /path/to/private.key;

注：將 server_name www.mf8.biz; 中的 www.mf8.biz 替換爲你的域名。

而後經過

 /usr/local/nginx/sbin/nginx -t

或者

nginx -t

來檢測是否配置正確，而後重啓 Nginx ，便可。

檢驗

在 Chrome 瀏覽器上能夠經過，HTTP/2 and SPDY indicator 來檢驗，若是地址欄出現藍色的閃電就是 h2

也能夠在 chrome://net-internals/#http2 中檢查。注意版本要新，姿式要帥！

配置進階

你們都知道去年的心血漏洞將 SSL 推到了風口浪尖，因此單單支持了 h2 ，咱們任然須要對 SSL 作一些安全的優化！

配置赫爾曼密鑰

openssl dhparam -out dhparam.pem 2048 // 在 ssh 運行， openssl 生成 2048 位的密鑰而不是看成參數寫入 nginx.conf 文件。

ssl_dhparam /path/to/dhparam.pem; //在 .conf 中配置

禁止不安全的 SSL 協議，使用安全協議

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

禁止已經不安全的加密算法

ssl_ciphers 'ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4';

緩解 BEAST 攻擊

ssl_prefer_server_ciphers on;

**啓用 HSTS**

此舉直接跳過 301 跳轉，還下降了中間人攻擊的風險！配置在 .conf 中便可

add_header Strict-Transport-Security max-age=15768000;

**301 跳轉**

80 端口跳轉到 443 端口

server {
 listen 80;
 add_header Strict-Transport-Security max-age=15768000;
 return 301 https://www.yourwebsite.com$request_uri;
}

緩存鏈接憑據

ssl_session_cache shared:SSL:20m;
ssl_session_timeout 60m;

OCSP 縫合

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/cert/trustchain.crt;
resolver 233.5.5.5 233.6.6.6 valid=300s;

免費提供最新Linux技術教程書籍，爲開源技術愛好者努力作得更多更好：http://www.linuxprobe.com/