Come abilitare HTTP / 2 su un server Plesk

• Abilitazione HTTP / 2
• Risoluzione dei problemi

Plesk ha il supporto HTTP / 2 nativo. Il suo processo di distribuzione richiede un'attenta pianificazione, sebbene la distribuzione di HTTP / 2 su Plesk sia molto più semplice rispetto ad altri pannelli di controllo. Questa guida si applica a vari sistemi operativi. I passaggi forniti qui funzioneranno finché avrai le versioni Plesk e OpenSSL sufficienti. Descriverò questi requisiti nel "Passaggio 1: Verifica dei requisiti".

È necessario tenere presente che molti browser supporteranno HTTP / 2 per il proprio sito Web solo se si utilizza un certificato SSL. Quando non viene utilizzato un certificato SSL, il contenuto non verrà offerto su HTTP / 2. Fortunatamente, ci sono molti modi per ottenere un certificato SSL. Se sei interessato a ottenere un certificato Let's Encrypt, consulta questa guida per crearne uno su Plesk: Let's Encrypt su Plesk .

Anche se c'è una buona possibilità che tu sia in grado di abilitare HTTP / 2 senza che i tuoi utenti o visitatori se ne accorgano (e senza alcun tempo morto), dovresti annunciare questa manutenzione. Nel caso in cui la suite di crittografia SSL non sia stata configurata correttamente, potrebbero verificarsi dei tempi di inattività. Fortunatamente, è molto semplice ripristinare le modifiche utilizzando lo strumento integrato di Plesk.

Dovresti essere assolutamente sicuro che non siano state apportate modifiche dirette ai file di configurazione, poiché sovrascriveremo alcuni file di configurazione. Non c'è nulla di cui preoccuparsi nel caso in cui siano state apportate modifiche esclusivamente utilizzando i metodi supportati (nei file personalizzati).

Se possibile, dovresti far girare un altro server cloud Vultr con una semplice installazione di Plesk ed eseguire i seguenti comandi. Quindi, in base al suo successo (o fallimento), è possibile prendere provvedimenti per eseguire immediatamente il debug e / o risolvere eventuali problemi che potrebbero sorgere nelle future distribuzioni HTTP / 2 sui server di produzione attualmente in uso.

Abilitazione HTTP / 2

Passaggio 1: verifica dei requisiti

Immediatamente, puoi abilitare il supporto HTTP / 2 per il proxy inverso che Plesk è stato distribuito. Nel caso in cui non si sia sicuri se il proprio server utilizza un proxy inverso, è necessario controllare "Service Monitor". Se vedi entrambi Apache e Nginx elencati lì, è sicuro supporre che l'installazione stia attualmente usando un proxy inverso. Se vedi solo Apache o solo Nginx, molto probabilmente utilizzerai un singolo server web.

Nel nucleo, c'è un requisito specifico che è assolutamente necessario per far funzionare HTTP / 2, che è una versione OpenSSL con supporto ALPN.

Tuttavia, se hai Plesk versione 12.5.30 o successiva installata su CentOS / RHEL 7, Ubuntu 14.04, Debian 8 o successiva, Nginx è distribuito con supporto ALPN pronto all'uso.

Se hai una versione precedente di Plesk o del sistema operativo, potresti aggiornare alcuni pacchetti. Tuttavia, non supportano né documento questo. Queste versioni e sistemi operativi sono molto vecchi e la migliore pratica sarebbe aggiornarli. Considera anche i rischi per la sicurezza derivanti dall'uso di software obsoleti.

Non esiste alcun documento che indichi esplicitamente quali sistemi operativi e versioni siano compatibili con HTTP / 2 su Plesk; tuttavia, se si utilizza la versione più recente (al momento della pubblicazione di questa guida), è necessario soddisfare i requisiti. Puoi tranquillamente supporre che i sistemi operativi più vecchi come CentOS / RHEL 5 non saranno compatibili.

A parte i requisiti della versione di OpenSSL, nota che Apache non deve necessariamente essere compatibile anche con HTTP / 2. Il supporto HTTP / 2 per Apache è disponibile dalla versione 2.4.17, ma nel caso in cui si faccia uso di un proxy inverso (che è l'impostazione predefinita in Plesk) è sufficiente solo la versione Nginx. Il server back-end, Apache, non dovrebbe essere compatibile. Puoi consultare il "Service Manager" in Plesk per assicurarti di utilizzare un proxy inverso. Quando Nginx è elencato lì, è sicuro supporre che Apache e Nginx siano installati come configurazione proxy inversa in cui Nginx funge da server frontend.

Il seguente comando mostra se Nginx è stato attivato o meno.

/usr/local/psa/admin/bin/nginxmng -s

Per OpenSSL, dovresti avere almeno la versione 1.0.1. Puoi controllare usando il seguente comando:

rpm -qa | grep openssl

Questo stamperà una versione simile a:

openssl-1.0.1e-42.el6_7.4.x86_64

Se la versione di OpenSSL non è uguale o superiore alla 1.0.1, è necessario aggiornare il sistema operativo. Plesk distribuito su sistemi operativi più recenti utilizzerà OpenSSL 1.0.1 immediatamente.

Passaggio 2: abilitare HTTP / 2 in Plesk

A seconda del sistema operativo utilizzato, abilitare HTTP / 2 utilizzando lo http2_prefstrumento. Questo comando dovrebbe essere eseguito come root.

Abilitazione di HTTP / 2 su CentOS / RHEL

Eseguire: /usr/local/psa/bin/http2_pref enable

Abilitazione di HTTP / 2 su Ubuntu / Debian

Eseguire: /opt/psa/bin/http2_pref enable

Passaggio 3: migliorare la suite di crittografia

L'uso di una buona suite di crittografia è incredibilmente importante per la sicurezza. Il supporto di protocolli obsoleti eliminerà efficacemente l'effetto delle misure di sicurezza. Assicurati di regolare i protocolli disponibili e le versioni TLS disponibili usando lo strumento Plesk integrato sslmng.

Ad esempio, abilitando le seguenti cifre e versioni TLS si garantirà la compatibilità con HTTP / 2. Se non sei sicuro delle cifre e delle versioni che dovresti abilitare, segui le seguenti impostazioni:

plesk sbin sslmng --services=nginx --custom --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EECDH+CHACHA20:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EDH+CHACHA20" --protocols="TLSv1 TLSv1.1 TLSv1.2"

Questo comando modifica /etc/nginx/conf.d/ssl.conf. Puoi modificare questo file direttamente, ma usando il comando sopra elencato persisterai le modifiche negli aggiornamenti di Plesk.

Per ottenere "Perfect forward secrecy" utilizzando un'altra suite di cifratura, puoi provare le seguenti cifrature:

ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS

Ci sono molte suite di crittografia disponibili e dovresti scegliere quella più adatta alle tue esigenze. È necessario consultare un sito Web come Cipherli.st al fine di raccogliere una suite di crittografia adatta alle proprie esigenze. Specificandolo nello sslmngstrumento, la suite di crittografia verrà utilizzata immediatamente.

Per verificare il supporto TLS del browser come client, utilizzare lo strumento SSL Qualys . Quando non si accettano cifre o versioni TLS sufficienti, alcuni siti Web potrebbero non essere raggiungibili.

Passaggio 4: Verifica della compatibilità HTTP / 2

Dopo aver abilitato HTTP / 2, è necessario verificare se i siti Web e il server Web sono raggiungibili tramite HTTP / 2. Per questo c'è uno strumento molto utile basato sul web: HTTP / 2 Test .

Per ottenere un risultato accurato, assicurati di aver disabilitato tutti i proxy inversi situati davanti al tuo server. Ad esempio, se stai utilizzando un CDN che non supporta HTTP / 2, lo strumento di test restituirà il tuo sito Web non supporta HTTP / 2 anche se è abilitato correttamente a livello di server. Proprio come il contrario: se hai un proxy inverso come Cloudflare davanti al tuo sito Web (che supporta HTTP / 2) lo strumento restituirà sempre HTTP / 2 come abilitato e funzionante, indipendentemente dalla sua funzionalità a livello di server .

Se alcuni browser si rifiutano di caricare i siti Web o di pubblicare contenuti dal server Web dopo aver abilitato HTTP / 2, è necessario analizzare la configurazione SSL utilizzando lo strumento SSL di Qualys .

(Facoltativo) Ripristino della configurazione HTTP / 2

Se necessario, se hai bisogno di tempo per il debug, puoi (temporaneamente) disabilitare HTTP / 2 semplicemente eseguendo il comando seguente. Quando desideri riattivare HTTP / 2, esegui semplicemente il comando per attivarlo e riprova a raggiungere uno dei tuoi siti Web. Non è possibile abilitare o disabilitare HTTP / 2 per domini o siti Web specifici; è un'impostazione a livello di server.

Disabilitazione di HTTP / 2 su CentOS / RHEL

Eseguire: /usr/local/psa/bin/http2_pref disable

Disabilitazione di HTTP / 2 su Ubuntu / Debian

Eseguire: /opt/psa/bin/http2_pref disable

Risoluzione dei problemi

Considerando i numerosi componenti di un server coinvolti nell'abilitazione di HTTP / 2, in alcuni casi potrebbe essere necessario risolvere i problemi quando i siti Web non vengono caricati correttamente o per niente dopo aver attivato il supporto HTTP / 2.

Nota: assicurarsi di non disabilitare il supporto HTTP / 2 utilizzando lo http2_prefstrumento quando si seguono questi passaggi.

Verifica i requisiti

Innanzitutto, assicurati di soddisfare i requisiti indicati all'inizio di questo articolo.

Ricrea la configurazione di Nginx

Se si soddisfano i requisiti per HTTP / 2, è possibile provare a ricreare i file di configurazione di Nginx. Dovresti sapere che questo rimuoverà qualsiasi configurazione personalizzata, quindi crea prima un backup della directory di configurazione di Nginx. Poiché i file di configurazione possono essere distribuiti su tutto il server, è meglio semplicemente creare un'istantanea o eseguire un backup. Quindi, eseguire questo comando:

/usr/local/psa/admin/bin/httpdmng --reconfigure-all

Ricontrolla la suite di crittografia

Se ciò non ha alcun effetto, molto probabilmente, la colpa è della suite di cifratura. Eseguire di nuovo il comando seguente:

plesk sbin sslmng --services=nginx --custom --ciphers="EECDH+AESGCM+AES128:EECDH+AESGCM+AES256:EECDH+CHACHA20:EDH+AESGCM+AES128:EDH+AESGCM+AES256:EDH+CHACHA20" --protocols="TLSv1 TLSv1.1 TLSv1.2"

Errore in panel.ini

Assicurarsi che il file /usr/local/psa/admin/conf/panel.inicontenga il seguente contenuto:

[webserver]
nginxHttp2 = true

È possibile verificare se il file contiene questo rapidamente eseguendo: cat /usr/local/psa/admin/conf/panel.ini | grep nginxHttp2

Questo comando non restituisce nulla? Quindi molto probabilmente, il file è di sola lettura, ad esempio a causa di un chattrattributo. Potrebbe essere stato aggiunto quando è http2_prefstato eseguito il comando (per abilitare HTTP / 2).

Controlla se viene utilizzato SSL

Quando un sito Web non utilizza SSL, tornerà a HTTP / 1.1. Solo i siti Web che utilizzano SSL verranno offerti tramite HTTP / 2. Assicurati di non applicare HTTP / 2 localmente in tutti i casi, perché non funzionerà e non sarà un problema sul lato server.

Altre opzioni

Se anche questo non funziona, dovresti consultare un esperto di Plesk, ad esempio sui forum di Plesk. In molti casi, tuttavia, i passaggi precedenti risolveranno la maggior parte dei problemi.

Un'ultima misura che puoi prendere è semplicemente riavviare il server. In alcuni casi strani questo ha risolto i problemi di punto in bianco. Tuttavia, dovresti sempre essere in grado di individuare i problemi per evitare che si ripetano (improvvisamente).

Questo conclude la mia guida, grazie per aver letto.