在Nginx中支持HTTP3.0/QUIC

悠悠 2023-03-01 09:10 18阅读 0赞

# 在Nginx中支持HTTP3.0/QUIC #

HTTP3.0，也称作HTTP over QUIC。核心是QUIC(读音quick)协议，由Google在2015年提出的SPDY v3演化而来的新协议，传统的HTTP协议是基于传输层TCP的协议，而QUIC是基于传输层UDP上的协议，可以定义成：HTTP3.0基于UDP的安全可靠的HTTP2.0协议，主要有以下特性：

![图片来自Nginx官博][Nginx]

*  基于UDP减少了TCP三次握手及TLS握手时间
 *  解决多路复用丢包时的线头阻塞问题
 *  优化重传策略
 *  流量控制
 *  连接迁移

关于HTTP3.0相关的详细解释，这里就不在多讲的，各位感兴趣的读者可以看下我之前的一篇文章[《HTTP发展史（HTTP1.1，HTTPS，SPDY，HTTP2.0，QUIC，HTTP3.0）》][HTTP_HTTP1.1_HTTPS_SPDY_HTTP2.0_QUIC_HTTP3.0]，本文主要讲解一下如何在Nginx中开启HTTP3.0的支持。

# #

## 方案选择 ##

对于HTTP3.0，由于整个协议还是处于草案阶段，目前来说没有一个完整的标准，所以各大浏览器厂商还只是在开发者版本中才会支持，例如Chrome的金丝雀版本[Chrome Canary][]，并且各个服务器厂商也是在持续跟进中，对于Nginx来说，支持HTTP3.0目前有两种方案可以选择：

*  **基于Cloudflare的分支版本Nginx**：对于HTTP3.0/QUIC，Cloudflare始终走在了前列，借助于自家维护的开源项目[quic][]，从Nginx中拉出了一个分支来开发，并编译出了对HTTP3.0支持的Nginx服务器。
 *  **Nginx官方Nginx-quic项目**：今年6月10日，Nginx[官博][Link 1]发布公告称已经在研发支持HTTP3.0/QUIC协议的工作，目前项目维护在[nginx-quic][]，该项目和基于Cloudflare基于Nginx的分支并无关系，算是相对于正统的方案。

基于此，本文将会以部署nginx-quic的方式来让Nginx支持HTTP3.0/QUIC。

# #

## 改造过程 ##

我们最终的目的是得到nginx-quic版本的nginx可执行文件，需要经过一系列的安装和编译，期间可能会遇到很多问题，如果各位读者不想实际操作，可以直接用我编译好的版本nginx-quic.linux-x86\_64.zip [传送门][Link 2]。

## ##

### 准备工作： ###

以centos7为例，下载nginx-quic源码[传送门][nginx-quic]，下载完成之后，需要进行编译安装，由于nginx-quic依赖boringSSL，所以还需下载boringSSL源码[传送门][Link 3]，然后同样需要编译安装boringSSL，执行这些操作之前，需要在linux上安装一些前置模块，通过yum来安装，执行以下命令：

sudo yum install build-essential mercurial psmisc lsb-release cmake golang libunwind-dev git libpcre3-dev zlib1g-dev
    复制代码

## ##

### 什么是boringSSL： ###

对于Nginx来说，在编译时需要配置对于的SSL库，不管是HTTP3.0还是HTTP2.0，始终都要基于HTTPS，而加密算法这块主要有OpenSSL来提供，而BoringSSL是谷歌创建的OpenSSL分支，用于支持TLS1.3的UDP协议0-RTT数据传输的加密算法（可以理解成TLS1.3是标准协议，BoringSSL是实现工具），BoringSSL的一些特性会在合适的时机同步给OpenSSl。

## ##

### 编译安装boringSSL： ###

cd boringssl-master/
    mkdir build
    cd build
    cmake ../
    make
    复制代码

执行之后，可以在`build/crypto`，和`build/ssl`下获得对应的文件，如下图：

![format_png][]

![format_png 1][]

注意编译安装boringSSL需要使用cmake3以上的版本。

## ##

### 编译安装nginx-quic： ###

cd nginx-quic/
    ./auto/configure --prefix=/root/nginx --with-http_ssl_module --with-http_v2_module --with-http_v3_module --with-cc-opt="-I../boringssl-master/include" --with-ld-opt="-L../boringssl-master/build/ssl -L../boringssl-master/build/crypto"
    make 
    make install
    复制代码

执行命令之后，会在`/root/nginx`目录下生成对应的nginx可执行文件，如下图：

![format_png 2][]

其中，配置文件在`conf/`下，nginx命令在`sbin/`目录下。

## ##

### 修改配置文件，启动nginx： ###

vi /root/nginx/conf/nginx.conf
    复制代码

添加http3配置:

server {
        listen 443 ssl http2;              # TCP listener for HTTP/2
        listen 443 http3 reuseport;  # UDP listener for QUIC+HTTP/3
    
        ssl_protocols       TLSv1.3; # QUIC requires TLS 1.3
        ssl_certificate     ssl/www.example.com.crt;
        ssl_certificate_key ssl/www.example.com.key;
    
        add_header Alt-Svc 'quic=":443"; h3-27=":443";h3-25=":443"; h3-T050=":443"; h3-Q050=":443";h3-Q049=":443";h3-Q048=":443"; h3-Q046=":443"; h3-Q043=":443"'; # Advertise that QUIC is available
    }
    复制代码

其中，要求使用TLSv1.3版本，并且当浏览器不支持http3时，可以选择http2。 另外，`add_header Alt-Svc`添加这个返回头不可缺少。

*  Alt-Svc 全称为“Alternative-Service”，直译为“备选服务”。该头部列举了当前站点备选的访问方式列表，让服务器可以告诉客户端 “看，我在这个主机的这个端口用这个协议提供相同的服务”。一般用于在提供 “QUIC” 等新兴协议支持的同时，实现向下兼容。参考[MDN][]。

## ##

### 验证HTTP3生效： ###

由于目前浏览器对HTTP3.0/QUIC的支持性有限，可以通过[http3check.net/][http3check.net]来验证站点启用HTTP3是否成功，以我的站点为例：

![format_png 3][]

## 坑点总结 ##

整个过程看似很简单，但是真正配置过程中遇到了不少坑，前前后后加上搜索问题花了一天半的时间才真正解决，把这些问题记录下来，分享给大家。

## ##

### 开启UDP的443端口： ###

由于quic协议使用的是UDP的443端口，这个端口对于centos7来说是默认关闭的，可以采用下面命令开启：

firewall-cmd --zone=public --add-port=443/udp --permanent
    复制代码

如果项目托管在阿里云上，需要更新ECS的安全组策略来对外开启对应的协议和端口，如下图：

![format_png 4][]

### TLS版本向下兼容： ###

由于使用了TLS 1.3，所以会修改对应加密算法，但是对于一些浏览器而言还不支持这么高的版本，尤其是对于苹果的Safari，所以，在配置nginx配置文件时，要多配置几个版本向下兼容，代码如下：

ssl_protocols       TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
    复制代码

## ##

### \-Werror错误问题： ###

在编译nginx-quic时，有时会遇到如下错误：

cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
    	-o objs/src/os/unix/ngx_linux_sendfile_chain.o \
    	src/os/unix/ngx_linux_sendfile_chain.c
    cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
    	-o objs/src/event/ngx_event_openssl.o \
    	src/event/ngx_event_openssl.c
    cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
    	-o objs/src/event/ngx_event_openssl_stapling.o \
    	src/event/ngx_event_openssl_stapling.c
    cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
    	-o objs/src/event/ngx_event_quic.o \
    	src/event/ngx_event_quic.c
    cc -c -pipe  -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include -I src/core -I src/event -I src/event/modules -I src/os/unix -I objs \
    	-o objs/src/event/ngx_event_quic_transport.o \
    	src/event/ngx_event_quic_transport.c
    src/event/ngx_event_quic_transport.c: In function ‘ngx_quic_create_stream’:
    src/event/ngx_event_quic_transport.c:54:9: error: comparison is always true due to limited range of data type [-Werror=type-limits]
          : ((uint32_t) value) <= 16383 ? 2                                        \
             ^
    src/event/ngx_event_quic_transport.c:1299:15: note: in expansion of macro ‘ngx_quic_varint_len’
             len = ngx_quic_varint_len(sf->type);
                   ^
    cc1: all warnings being treated as errors
    make[1]: *** [objs/src/event/ngx_event_quic_transport.o] Error 1
    make[1]: Leaving directory `/root/nginx-quic'
    make: *** [build] Error 2
    [root@iz2zehmi1ztqtx8tg6ca7gz nginx-quic]#
    复制代码

解决办法是：

cd nginx-quic\objs
    
    vi Makefile
    
    复制代码

找到 `CFLAGS = -pipe -O -W -Wall -Wpointer-arith -Wno-unused-parameter -Werror -g -I../boringssl-master/include`将-Werror参数去掉。

## ##

### reuseport只需配置一次： ###

假如有多个域名需要开启http3，则reuseport建议只在根域名上配置，如果一个配置文件中出现多个reuseport，会报错，配置如下：

server {
            
            listen 443 ssl http2;              # TCP listener for HTTP/2
            listen 443 http3 reuseport;  # UDP listener for QUIC+HTTP/3
    
            server_name  www.nihaoshijie.com.cn default_server;
    
        }
    
        server {
    
            listen 443 ssl http2;        # TCP listener for HTTP/2
            listen 443 http3;  # UDP listener for QUIC+HTTP/3
    
            server_name  app.nihaoshijie.com.cn;
    
        }
    复制代码

## ##

### 编译安装时的性能问题： ###

如果编译安装时报类似下面的错误，可能是主机的内容不足，需要关闭一些运行的程序来往下进行。

...
    c++: internal compiler error: Killed (program cc1plus)
    复制代码

快开启你的HTTP3之旅吧，码字不易，如果本文对你有帮助，点赞支持一下～

关注下面的标签，发现更多相似文章

HTTP3

*原文链接：[https://juejin.im/post/5f0bb78fe51d4534a711efbf][https_juejin.im_post_5f0bb78fe51d4534a711efbf]*

[Nginx]: /images/20230209/4928022a0d65434abf5f245e3c8c923c.png
[HTTP_HTTP1.1_HTTPS_SPDY_HTTP2.0_QUIC_HTTP3.0]: https://juejin.im/post/5dc37277f265da4d57771f87
[Chrome Canary]: https://www.google.cn/chrome/canary/
[quic]: https://cloudflare-quic.com/
[Link 1]: https://www.nginx.com/blog/introducing-technology-preview-nginx-support-for-quic-http-3/
[nginx-quic]: https://hg.nginx.org/nginx-quic
[Link 2]: https://www.nihaoshijie.com.cn/mypro/nginx-quic.linux-x86_64.zip
[Link 3]: https://github.com/google/boringssl
[format_png]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91c2VyLWdvbGQtY2RuLnhpdHUuaW8vMjAyMC83LzEzLzE3MzQ2MTA1MWVjOWJiMmY?x-oss-process=image/format,png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91c2VyLWdvbGQtY2RuLnhpdHUuaW8vMjAyMC83LzEzLzE3MzQ2MTA3ZGE4NjZkNmQ?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91c2VyLWdvbGQtY2RuLnhpdHUuaW8vMjAyMC83LzEzLzE3MzQ2MTk2M2VjNDZkZmM?x-oss-process=image/format,png
[MDN]: https://developer.mozilla.org/zh-CN/docs/Web/HTTP/Headers/Alt-Svc
[http3check.net]: https://http3check.net/
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91c2VyLWdvbGQtY2RuLnhpdHUuaW8vMjAyMC83LzEzLzE3MzQ2MmI3NDk0NzNiNGY?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cHM6Ly91c2VyLWdvbGQtY2RuLnhpdHUuaW8vMjAyMC83LzEzLzE3MzQ2YmZmNGM4YWM0ODA?x-oss-process=image/format,png
[https_juejin.im_post_5f0bb78fe51d4534a711efbf]: https://juejin.im/post/5f0bb78fe51d4534a711efbf