Cómo habilitar HTTP / 2 en un servidor Plesk

• Habilitar HTTP / 2
• Solución de problemas

Plesk tiene soporte nativo HTTP / 2. Su proceso de implementación requiere una planificación cuidadosa, aunque implementar HTTP / 2 en Plesk es mucho más fácil en comparación con otros paneles de control. Esta guía se aplica a una variedad de sistemas operativos. Los pasos proporcionados aquí funcionarán siempre que tenga las versiones suficientes de Plesk y OpenSSL. Describiré estos requisitos en el "Paso 1: Verificación de requisitos".

Debe tener en cuenta que muchos navegadores solo admitirán HTTP / 2 para su sitio web si utiliza un certificado SSL. Cuando no se utiliza un certificado SSL, el contenido no se servirá a través de HTTP / 2. Afortunadamente, hay muchas formas de obtener un certificado SSL. Si está interesado en obtener un certificado Let's Encrypt, consulte esta guía para crear uno en Plesk: Let's Encrypt en Plesk .

Aunque existe una buena posibilidad de que pueda habilitar HTTP / 2 sin que sus usuarios o visitantes lo noten (y sin ningún tiempo de inactividad), debe anunciar este mantenimiento. En caso de que su conjunto de cifrado SSL no se haya configurado correctamente, podría haber algún tiempo de inactividad. Afortunadamente, es muy fácil revertir los cambios utilizando la herramienta integrada de Plesk.

Debe estar absolutamente seguro de que no se han realizado cambios directos en los archivos de configuración, ya que sobrescribiremos algunos archivos de configuración. Sin embargo, no hay nada de qué preocuparse en caso de que haya realizado cambios exclusivamente utilizando métodos compatibles (en archivos personalizados).

Si es posible, debe activar otro servidor en la nube Vultr con una instalación simple de Plesk y ejecutar los comandos a continuación. Luego, en función de su éxito (o fracaso), puede tomar medidas para depurar y / o resolver instantáneamente cualquier problema que pueda surgir en futuras implementaciones HTTP / 2 en servidores de producción actualmente en uso.

Habilitar HTTP / 2

Paso 1: Verificación de requisitos

Listo para usar, puede habilitar la compatibilidad con HTTP / 2 para el proxy inverso que se implementó Plesk. En caso de que no esté seguro de si su servidor utiliza un proxy inverso, debe verificar el "Monitor de servicio". Si ve tanto Apache como Nginx en la lista, es seguro asumir que su instalación está utilizando un proxy inverso. Si solo ve Apache o solo Nginx, lo más probable es que esté usando un único servidor web.

En el núcleo, hay un requisito específico que es absolutamente necesario para que HTTP / 2 funcione, que es una versión OpenSSL con soporte ALPN.

Sin embargo, si tiene instalada la versión 12.5.30 o superior de Plesk en CentOS / RHEL 7, Ubuntu 14.04, Debian 8 o superior, Nginx se implementa con soporte ALPN listo para usar.

Si tiene una versión anterior de Plesk o del sistema operativo, puede actualizar algunos paquetes. Sin embargo, no apoyo ni documento esto. Estas versiones y sistemas operativos son muy antiguos, y la mejor práctica sería actualizarlos. Considere los riesgos de seguridad de usar software obsoleto también.

No hay ningún documento que indique explícitamente qué sistemas operativos y versiones son compatibles con HTTP / 2 en Plesk; sin embargo, si usa la versión más reciente (en el momento en que se publicó esta guía), debe cumplir con los requisitos. Puede asumir con seguridad que los sistemas operativos más antiguos, como CentOS / RHEL 5, no serán compatibles.

Además de los requisitos de versión de OpenSSL, tenga en cuenta que Apache no necesariamente necesita ser compatible con HTTP / 2 también. El soporte HTTP / 2 para Apache ha estado disponible desde la versión 2.4.17, pero en caso de que utilice un proxy inverso (que es la configuración predeterminada en Plesk) solo la versión Nginx tiene que ser suficiente. El servidor de fondo, Apache, no tendría que ser compatible. Puede consultar el "Administrador de servicios" en Plesk para asegurarse de que está utilizando un proxy inverso. Cuando Nginx aparece en la lista, es seguro asumir que Apache y Nginx están instalados como una configuración de proxy inverso donde Nginx actúa como el servidor frontend.

El siguiente comando muestra si Nginx ha sido activado o no.

/usr/local/psa/admin/bin/nginxmng -s

Para OpenSSL, debe tener la versión 1.0.1 al menos. Puede verificar con el siguiente comando:

rpm -qa | grep openssl

Esto imprimirá una versión similar a:

openssl-1.0.1e-42.el6_7.4.x86_64

Si la versión de OpenSSL no es igual o mayor que 1.0.1, debe actualizar su sistema operativo. Plesk implementado en sistemas operativos más nuevos hará uso de OpenSSL 1.0.1 fuera de la caja.

Paso 2: Habilitar HTTP / 2 en Plesk

Dependiendo del sistema operativo utilizado, habilite HTTP / 2 con la http2_prefherramienta. Este comando debe ejecutarse como root.

Habilitar HTTP / 2 en CentOS / RHEL

Ejecutar: /usr/local/psa/bin/http2_pref enable

Habilitar HTTP / 2 en Ubuntu / Debian

Ejecutar: /opt/psa/bin/http2_pref enable

Paso 3: Mejora la suite de cifrado

Usar una buena suite de cifrado es increíblemente importante para la seguridad. Apoyar protocolos obsoletos derrotará efectivamente el efecto de sus medidas de seguridad. Asegúrese de ajustar los protocolos disponibles y las versiones TLS disponibles utilizando la herramienta Plesk incorporada sslmng.

Por ejemplo, habilitar las siguientes versiones de cifrado y TLS garantizará la compatibilidad con HTTP / 2. Si no está seguro de los cifrados y las versiones que debe habilitar, siga las siguientes configuraciones:

plesk sbin sslmng --services=nginx --custom --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EECDH+CHACHA20:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EDH+CHACHA20" --protocols="TLSv1 TLSv1.1 TLSv1.2"

Este comando se modifica /etc/nginx/conf.d/ssl.conf. Puede modificar este archivo directamente, pero el uso del comando mencionado anteriormente persistirá en los cambios en las actualizaciones de Plesk.

Para obtener el "Secreto directo perfecto" utilizando otro conjunto de cifrado, puede probar los siguientes cifrados:

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS

Hay muchas suites de cifrado disponibles, y debe elegir la que mejor se adapte a sus necesidades. Debe consultar un sitio web como Cipherli.st para reunir un conjunto de cifrado que se ajuste a sus necesidades. Al especificarlo en la sslmngherramienta, el conjunto de cifrado se utilizará al instante.

Para verificar el soporte TLS de su navegador como cliente, use la herramienta Qualys SSL . Cuando no está permitiendo suficientes cifrados o versiones de TLS, algunos sitios web pueden quedar inalcanzables.

Paso 4: Verificación de compatibilidad HTTP / 2

Después de habilitar HTTP / 2, debe verificar si se puede acceder a sus sitios web y servidor web a través de HTTP / 2. Hay una herramienta web muy útil para esto: Prueba HTTP / 2 .

Para obtener un resultado preciso, asegúrese de haber deshabilitado todos los proxys inversos ubicados frente a su servidor. Por ejemplo, si está utilizando un CDN que no es compatible con HTTP / 2, la herramienta de prueba devolverá que su sitio web no es compatible con HTTP / 2, incluso si se habilitó con éxito en el nivel del servidor. Al igual que a la inversa: si tiene un proxy inverso como Cloudflare frente a su sitio web (que admite HTTP / 2), la herramienta siempre devolverá HTTP / 2 como habilitado y funcionando, independientemente de su funcionalidad en el nivel del servidor .

Si algunos navegadores se niegan a cargar su (s) sitio (s) web o servir cualquier contenido de su servidor web después de habilitar HTTP / 2, debe analizar su configuración SSL utilizando la herramienta SSL de Qualys .

(Opcional) Revertir la configuración HTTP / 2

Si es necesario, si necesita tiempo para depurar, puede (temporalmente) deshabilitar HTTP / 2 simplemente ejecutando el siguiente comando. Una vez que desee volver a habilitar HTTP / 2, simplemente ejecute el comando para activarlo y vuelva a intentar llegar a cualquiera de sus sitios web. No hay forma de habilitar o deshabilitar HTTP / 2 para dominios o sitios web específicos; Es una configuración de todo el servidor.

Deshabilitar HTTP / 2 en CentOS / RHEL

Ejecutar: /usr/local/psa/bin/http2_pref disable

Deshabilitar HTTP / 2 en Ubuntu / Debian

Ejecutar: /opt/psa/bin/http2_pref disable

Solución de problemas

Teniendo en cuenta los muchos componentes de un servidor involucrados en la habilitación de HTTP / 2, en algunos casos es posible que deba solucionar problemas cuando los sitios web no se cargan correctamente o no lo hacen después de activar el soporte HTTP / 2.

Nota: asegúrese de no deshabilitar la compatibilidad con HTTP / 2 utilizando la http2_prefherramienta cuando siga estos pasos.

Consultar requisitos

Primero, asegúrese de cumplir con los requisitos descritos al principio de este artículo.

Recrea la configuración de Nginx

Si cumple con los requisitos para HTTP / 2, puede intentar recrear los archivos de configuración de Nginx. Debe saber que esto eliminará cualquier configuración personalizada, por lo tanto, cree una copia de seguridad del directorio de configuración de Nginx de antemano. Como los archivos de configuración pueden extenderse por todo el servidor, es mejor simplemente hacer una instantánea o hacer una copia de seguridad. Luego, ejecute este comando:

/usr/local/psa/admin/bin/httpdmng --reconfigure-all

Vuelva a verificar el conjunto de cifrado

Si eso tampoco tiene ningún efecto, lo más probable es que el conjunto de cifrado sea el culpable. Ejecute el siguiente comando nuevamente:

plesk sbin sslmng --services=nginx --custom --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EECDH+CHACHA20:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EDH+CHACHA20" --protocols="TLSv1 TLSv1.1 TLSv1.2"

Error en panel.ini

Asegúrese de que el archivo /usr/local/psa/admin/conf/panel.inicontenga el siguiente contenido:

[webserver]
nginxHttp2 = true

Puede verificar si el archivo contiene esto rápidamente ejecutando: cat /usr/local/psa/admin/conf/panel.ini | grep nginxHttp2

¿Este comando no devuelve nada? Entonces, lo más probable es que el archivo sea de solo lectura, por ejemplo debido a un chattratributo. Es posible que se haya agregado cuando http2_prefse ejecutó el comando (para habilitar HTTP / 2).

Comprobar si se usa SSL

Cuando un sitio web no utiliza SSL, volverá a HTTP / 1.1. Solo los sitios web que utilizan SSL serán atendidos utilizando HTTP / 2. Asegúrese de no aplicar HTTP / 2 localmente en todos los casos, porque eso no funcionará y no es un problema del lado del servidor.

Otras opciones

Si esto tampoco funciona, debe consultar a un experto de Plesk, por ejemplo en los foros de Plesk. Sin embargo, en muchos casos, los pasos anteriores solucionarán la mayoría de los problemas.

Una última medida que puede tomar es simplemente reiniciar el servidor. En algunos casos extraños esto ha solucionado problemas de la nada. Sin embargo, siempre debe poder identificar los problemas para evitar que vuelvan a ocurrir (de repente).

Con esto concluye mi guía, gracias por leer.