So aktivieren Sie HTTP / 2 auf einem Plesk-Server

• HTTP / 2 aktivieren
• Fehlerbehebung

Plesk bietet native HTTP / 2-Unterstützung. Der Bereitstellungsprozess erfordert eine sorgfältige Planung, obwohl die Einführung von HTTP / 2 auf Plesk im Vergleich zu anderen Control Panels viel einfacher ist. Dieses Handbuch gilt für eine Vielzahl von Betriebssystemen. Die hier angegebenen Schritte funktionieren, solange Sie über ausreichend Plesk- und OpenSSL-Versionen verfügen. Ich werde diese Anforderungen in "Schritt 1: Überprüfen der Anforderungen" beschreiben.

Sie sollten berücksichtigen, dass viele Browser HTTP / 2 für Ihre Website nur unterstützen, wenn Sie ein SSL-Zertifikat verwenden. Wenn kein SSL-Zertifikat verwendet wird, wird der Inhalt nicht über HTTP / 2 bereitgestellt. Glücklicherweise gibt es viele Möglichkeiten, ein SSL-Zertifikat zu erhalten. Wenn Sie an einem Let's Encrypt-Zertifikat interessiert sind, lesen Sie dieses Handbuch, um eines in Plesk zu erstellen: Let's Encrypt in Plesk .

Auch wenn die Wahrscheinlichkeit groß ist, dass Sie HTTP / 2 aktivieren können, ohne dass Ihre Benutzer oder Besucher es bemerken (und ohne Ausfallzeiten), sollten Sie diese Wartung ankündigen. Falls Ihre SSL-Verschlüsselungssuite nicht richtig konfiguriert wurde, kann es zu Ausfallzeiten kommen. Glücklicherweise ist es sehr einfach, die Änderungen mit dem in Plesk integrierten Tool rückgängig zu machen.

Sie sollten absolut sicher sein, dass keine direkten Änderungen an den Konfigurationsdateien vorgenommen wurden, da wir einige Konfigurationsdateien überschreiben werden. Sie müssen sich jedoch keine Sorgen machen, wenn Sie Änderungen ausschließlich mit unterstützten Methoden (in benutzerdefinierten Dateien) vorgenommen haben.

Wenn möglich, sollten Sie einen anderen Vultr-Cloud-Server mit einer einfachen Plesk-Installation hochfahren und die folgenden Befehle ausführen. Basierend auf dem Erfolg (oder Misserfolg) können Sie dann Schritte unternehmen, um Probleme, die bei zukünftigen HTTP / 2-Bereitstellungen auf derzeit verwendeten Produktionsservern auftreten können, sofort zu debuggen und / oder zu beheben.

HTTP / 2 aktivieren

Schritt 1: Überprüfen der Anforderungen

Standardmäßig können Sie die HTTP / 2-Unterstützung für den Reverse-Proxy aktivieren, den Plesk bereitgestellt hat. Falls Sie nicht sicher sind, ob Ihr Server einen Reverse-Proxy verwendet, sollten Sie den "Service Monitor" überprüfen. Wenn dort sowohl Apache als auch Nginx aufgelistet sind, können Sie davon ausgehen, dass Ihre Installation derzeit einen Reverse-Proxy verwendet. Wenn Sie nur Apache oder nur Nginx sehen, verwenden Sie höchstwahrscheinlich einen einzelnen Webserver.

Im Kern gibt es eine spezielle Anforderung, die unbedingt erforderlich ist, damit HTTP / 2 funktioniert, nämlich eine OpenSSL-Version mit ALPN-Unterstützung.

Wenn Sie jedoch Plesk Version 12.5.30 oder höher unter CentOS / RHEL 7, Ubuntu 14.04, Debian 8 oder höher installiert haben, wird Nginx sofort mit ALPN-Unterstützung bereitgestellt.

Wenn Sie eine ältere Plesk- oder Betriebssystemversion haben, können Sie einige Pakete aktualisieren. Ich unterstütze oder dokumentiere dies jedoch nicht. Diese Versionen und Betriebssysteme sind sehr alt, und es wird empfohlen, sie zu aktualisieren. Berücksichtigen Sie auch die Sicherheitsrisiken bei der Verwendung veralteter Software.

Es gibt kein Dokument, in dem ausdrücklich angegeben ist, welche Betriebssysteme und Versionen mit HTTP / 2 auf Plesk kompatibel sind. Wenn Sie jedoch die neueste Version verwenden (zum Zeitpunkt der Veröffentlichung dieses Handbuchs), sollten Sie die Anforderungen erfüllen. Sie können davon ausgehen, dass ältere Betriebssysteme wie CentOS / RHEL 5 nicht kompatibel sind.

Beachten Sie, dass Apache neben den OpenSSL-Versionsanforderungen nicht unbedingt auch mit HTTP / 2 kompatibel sein muss. Die HTTP / 2-Unterstützung für Apache ist seit Version 2.4.17 verfügbar. Wenn Sie jedoch einen Reverse-Proxy verwenden (dies ist die Standardeinstellung in Plesk), muss nur die Nginx-Version ausreichen. Der Backend-Server Apache müsste nicht kompatibel sein. Sie können den "Service Manager" in Plesk konsultieren, um sicherzustellen, dass Sie einen Reverse-Proxy verwenden. Wenn Nginx dort aufgeführt ist, kann davon ausgegangen werden, dass Apache und Nginx als Reverse-Proxy-Setup installiert sind, bei dem Nginx als Frontend-Server fungiert.

Der folgende Befehl zeigt, ob Nginx aktiviert wurde oder nicht.

/usr/local/psa/admin/bin/nginxmng -s

Für OpenSSL sollten Sie mindestens Version 1.0.1 haben. Sie können dies mit dem folgenden Befehl überprüfen:

rpm -qa | grep openssl

Dadurch wird eine Version gedruckt, die der folgenden ähnelt:

openssl-1.0.1e-42.el6_7.4.x86_64

Wenn die OpenSSL-Version nicht gleich oder größer als 1.0.1 ist, sollten Sie Ihr Betriebssystem aktualisieren. Plesk, das auf neueren Betriebssystemen bereitgestellt wird, verwendet sofort OpenSSL 1.0.1.

Schritt 2: Aktivieren von HTTP / 2 in Plesk

Aktivieren Sie je nach verwendetem Betriebssystem HTTP / 2 mit dem http2_prefTool. Dieser Befehl sollte als root ausgeführt werden.

Aktivieren von HTTP / 2 unter CentOS / RHEL

Ausführen: /usr/local/psa/bin/http2_pref enable

Aktivieren von HTTP / 2 unter Ubuntu / Debian

Ausführen: /opt/psa/bin/http2_pref enable

Schritt 3: Verbessern Sie die Cipher Suite

Die Verwendung einer guten Verschlüsselungssuite ist für die Sicherheit unglaublich wichtig. Durch die Unterstützung veralteter Protokolle werden die Auswirkungen Ihrer Sicherheitsmaßnahmen wirksam zunichte gemacht. Stellen Sie sicher, dass Sie die verfügbaren Protokolle und verfügbaren TLS-Versionen mit dem integrierten Plesk-Tool anpassen sslmng.

Wenn Sie beispielsweise die folgenden Chiffren und TLS-Versionen aktivieren, wird die Kompatibilität mit HTTP / 2 sichergestellt. Wenn Sie sich nicht sicher sind, welche Chiffren und Versionen Sie aktivieren sollten, halten Sie sich an die folgenden Einstellungen:

plesk sbin sslmng --services=nginx --custom --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EECDH+CHACHA20:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EDH+CHACHA20" --protocols="TLSv1 TLSv1.1 TLSv1.2"

Dieser Befehl wird geändert /etc/nginx/conf.d/ssl.conf. Sie können diese Datei direkt ändern, aber mit dem oben aufgeführten Befehl bleiben Änderungen bei Plesk-Updates erhalten.

Um mit einer anderen Verschlüsselungssuite "Perfect Forward Secrecy" zu erhalten, können Sie die folgenden Verschlüsselungen ausprobieren:

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS

Es gibt viele Chiffresuiten, und Sie sollten die auswählen, die Ihren Anforderungen am besten entspricht. Sie sollten eine Website wie Cipherli.st konsultieren , um eine Cipher Suite zu erstellen , die Ihren Anforderungen entspricht. Durch Angabe im sslmngTool wird die Cipher Suite sofort verwendet.

Verwenden Sie das Qualys SSL-Tool, um die TLS-Unterstützung Ihres Browsers als Client zu überprüfen . Wenn Sie nicht genügend Chiffren oder TLS-Versionen zulassen, sind einige Websites möglicherweise nicht mehr erreichbar.

Schritt 4: Überprüfen der HTTP / 2-Kompatibilität

Nach dem Aktivieren von HTTP / 2 sollten Sie überprüfen, ob Ihre Websites und Ihr Webserver über HTTP / 2 erreichbar sind. Hierfür gibt es ein sehr praktisches webbasiertes Tool: HTTP / 2-Test .

Stellen Sie sicher, dass Sie alle vor Ihrem Server befindlichen Reverse-Proxys deaktiviert haben, um ein genaues Ergebnis zu erhalten. Wenn Sie beispielsweise ein CDN verwenden, das HTTP / 2 nicht unterstützt, gibt das Testtool zurück, dass Ihre Website HTTP / 2 nicht unterstützt, selbst wenn es auf Serverebene erfolgreich aktiviert wurde. Genau wie umgekehrt: Wenn Sie vor Ihrer Website einen Reverse-Proxy wie Cloudflare haben (der HTTP / 2 unterstützt), gibt das Tool HTTP / 2 unabhängig von seiner Funktionalität auf Serverebene immer als aktiviert und funktionsfähig zurück .

Wenn einige Browser sich weigern, Ihre Website (s) zu laden oder Inhalte von Ihrem Webserver bereitzustellen, nachdem Sie HTTP / 2 aktiviert haben, sollten Sie Ihr SSL-Setup mit dem SSL-Tool von Qualys analysieren .

(Optional) Zurücksetzen der HTTP / 2-Konfiguration

Wenn Sie Zeit zum Debuggen benötigen, können Sie HTTP / 2 bei Bedarf (vorübergehend) einfach durch Ausführen des folgenden Befehls deaktivieren. Wenn Sie HTTP / 2 wieder aktivieren möchten, führen Sie einfach den Befehl zum Aktivieren aus und versuchen Sie erneut, eine Ihrer Websites zu erreichen. Es gibt keine Möglichkeit, HTTP / 2 für bestimmte Domains oder Websites zu aktivieren oder zu deaktivieren. Es ist eine serverweite Einstellung.

Deaktivieren von HTTP / 2 unter CentOS / RHEL

Ausführen: /usr/local/psa/bin/http2_pref disable

Deaktivieren von HTTP / 2 unter Ubuntu / Debian

Ausführen: /opt/psa/bin/http2_pref disable

Fehlerbehebung

In Anbetracht der vielen Komponenten eines Servers, die an der Aktivierung von HTTP / 2 beteiligt sind, müssen Sie in einigen Fällen möglicherweise Probleme beheben, wenn Websites nach Aktivierung der HTTP / 2-Unterstützung nicht richtig oder überhaupt nicht geladen werden.

Hinweis: Stellen Sie sicher, dass Sie die HTTP / 2-Unterstützung mit dem http2_prefTool nicht deaktivieren , wenn Sie diese Schritte ausführen.

Überprüfen Sie die Anforderungen

Stellen Sie zunächst sicher, dass Sie die am Anfang dieses Artikels beschriebenen Anforderungen erfüllen.

Erstellen Sie die Nginx-Konfiguration neu

Wenn Sie die Anforderungen für HTTP / 2 erfüllen, können Sie versuchen, die Nginx-Konfigurationsdateien neu zu erstellen. Sie sollten wissen, dass dadurch alle benutzerdefinierten Konfigurationen entfernt werden. Erstellen Sie daher zuvor eine Sicherungskopie des Nginx-Konfigurationsverzeichnisses. Da die Konfigurationsdateien auf dem Server verteilt werden können, ist es besser, einfach einen Snapshot zu erstellen oder ein Backup zu erstellen. Führen Sie dann diesen Befehl aus:

/usr/local/psa/admin/bin/httpdmng --reconfigure-all

Überprüfen Sie die Verschlüsselungssuite erneut

Wenn dies auch keine Auswirkungen hat, ist höchstwahrscheinlich die Cipher Suite schuld. Führen Sie den folgenden Befehl erneut aus:

plesk sbin sslmng --services=nginx --custom --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EECDH+CHACHA20:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EDH+CHACHA20" --protocols="TLSv1 TLSv1.1 TLSv1.2"

Fehler in panel.ini

Stellen Sie sicher, dass die Datei /usr/local/psa/admin/conf/panel.iniden folgenden Inhalt enthält:

[webserver]
nginxHttp2 = true

Sie können schnell überprüfen, ob die Datei dies enthält, indem Sie Folgendes ausführen: cat /usr/local/psa/admin/conf/panel.ini | grep nginxHttp2

Gibt dieser Befehl nichts zurück? Dann ist die Datei höchstwahrscheinlich schreibgeschützt, beispielsweise aufgrund eines chattrAttributs. Es wurde möglicherweise hinzugefügt, als der http2_prefBefehl (zum Aktivieren von HTTP / 2) ausgeführt wurde.

Überprüfen Sie, ob SSL verwendet wird

Wenn eine Website kein SSL verwendet, wird auf HTTP / 1.1 zurückgegriffen. Nur Websites, die SSL verwenden, werden über HTTP / 2 bereitgestellt. Stellen Sie sicher, dass Sie HTTP / 2 nicht in allen Fällen lokal erzwingen, da dies nicht funktioniert und kein serverseitiges Problem darstellt.

Andere Optionen

Sollte dies auch nicht funktionieren, sollten Sie einen Plesk-Experten konsultieren, beispielsweise in den Plesk-Foren. In vielen Fällen beheben die oben genannten Schritte jedoch die meisten Probleme.

Eine letzte Maßnahme, die Sie ergreifen können, ist der Neustart des Servers. In einigen seltsamen Fällen wurden Probleme aus heiterem Himmel behoben. Sie sollten jedoch immer in der Lage sein, Probleme zu lokalisieren, um zu verhindern, dass sie (plötzlich) erneut auftreten.

Damit ist mein Leitfaden abgeschlossen, danke fürs Lesen.