使用OpenSSL 1.0.2的Debian Jessie Nginx使用ALPN而不是NPN

我在服务器上运行debian jessie，最近升级到了具有http / 2支持（nginx 1.10）的新Nginx Web服务器。与今天一样，它的工作原理非常好，并且Web服务器正在通过http2协议交付内容。

我已经读到，Chrome正在放弃NPN支持，并且仅允许在2016年5月15日之后使用ALPN。ALPN是扩展程序，需要安装openssl 1.0.2，但在debian jessie上仅是openssl 1.0.1（在debian backports和另一个存储库上，此debian没有openssl 1.0.2版本）。

有一个问题-我已经从SPDY升级到http2，几天之内，我将不得不关闭http2并且不能使用SPDY，因为此版本的nignx只有http2。我还读过，该版本的debian将使用openssl 1.0.1，只有debian Stretch将具有openssl 1.0.2。但是要发布日期将近一年，Chrome将很快放弃支持，因此我不想失去http2协议的好处。

有什么解决方案，如何在此系统上安装openssl 1.0.2，而无需构建自己的构建（不良维护）或等待反向端口存储库拥有它？我也不想在我的系统上使用两个版本的openssl，如果其中一个必须手动链接和维护。

谢谢你的帮助。

2016年8月8日更新： nginx in jessie-backports（1.9.10-1~bpo8+3针对版本构建openssl >= 1.0.2~。ALPN如果正在运行，jessie只需将软件包取出即可开始工作jessie-backports，不再需要从中取出软件包stretch。

-

原始答案：根据评论，我的答案就在这里：我认为，截至今天（2016年5月9日），解决此问题的方法还不多。基本上，您必须尝试通过某种方式使nginx系统更现代>= openssl 1.0.2~。

我当前看到的仅有的两个选项是：要么自己编译（不想做），这是可以理解的，要么将现代软件包Debian stretch引入系统。这涉及一些风险，因为您正在将一个稳定的环境与另一个环境混合使用，但是我认为这些风险非常低，因为您正在使用Debian。

因此，让我们尝试一下：

• 将Debian stretch存储库添加到您的中apt sources。请勿/etc/apt/sources.list用于此目的，而是使用内部专用文件/etc/apt/sources.list.d/保持其干净，我个人正在使用stretch.list。

  将这些行放在其中：

  deb http://httpredir.debian.org/debian/ stretch main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch main contrib non-free
  
  deb http://security.debian.org/ stretch/updates main contrib non-free
  deb-src http://security.debian.org/ stretch/updates main contrib non-free
  
  # stretch-updates, previously known as 'volatile'
  deb http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  deb-src http://httpredir.debian.org/debian/ stretch-updates main contrib non-free
  

• 设置apt pinning，以确保仅从Debian stretch指定的软件包中取出软件包。用于此的文件/etc/apt/preferences位于里面，放在：

  Package: *
  Pin: release n=jessie
  Pin-Priority: 900
  
  Package: * 
  Pin: release a=jessie-backports
  Pin-Priority: 500
  
  Package: *
  Pin: release n=stretch
  Pin-Priority: 100
  

  （您可能必须更改套件和优先级以适合您的环境。）

• 运行apt-get update（通过sudo/ as root）更新程序包缓存。

• nginx从安装Debian stretch：（apt-get install -t stretch nginx通过sudo/ as进行安装root）。利润！

• 正如我在评论中所描述的，要降低所涉及的风险，您可以使用类似chroot或类似LXC的容器解决方案。如果您想走这chroot条路，则必须在其中设置一个网络接口：为此，请看一下此博客文章，其中对进行了介绍network namespaces。

• 希望这可以帮助; 如果您还有其他问题，请随时与我联系。非常感谢您的反馈，并且我对反馈的过程很感兴趣。

另一种方法是从jessie-backports安装OpenSSL 1.0.2，并使用nginx自己的存储库中的 Ubuntu 16.04 LTS构建。这样，您至少要使用为Jessie构建的OpenSSL软件包。

添加到/etc/apt/sources.list：

# jessie-backports, from stretch-level but with no dependencies
deb http://httpredir.debian.org/debian/ jessie-backports main contrib non-free
deb-src http://httpredir.debian.org/debian/ jessie-backports main contrib non-free

# Nginx repository - use Ubuntu 16.04 LTS Xenial to get packages compiled with OpenSSL 1.0.2
deb http://nginx.org/packages/mainline/ubuntu/ xenial nginx
deb-src http://nginx.org/packages/mainline/ubuntu/ xenial nginx

然后运行：

apt-get update
apt-get install -t jessie-backports openssl
apt-get install nginx

显然，这使您进入了官方不受支持的配置，但这也许比根本没有软件包要好得多，它对我有用。此外，使用nginx的仓库意味着您可以获得最新的更新。

另一种方法是使用jessie-backports，然后轻松重建nginx

添加到/etc/apt/sources.list反向端口

deb http://ftp.debian.org/debian jessie-backports main

然后以根用户身份运行

apt-get update
apt-get install -t jessie-backports openssl

然后重建nginx。按照https://wiki.debian.org/BuildingAPackage上的说明进行操作

对我而言，最简单的解决方法是使用其他Nginx Docker映像，请参阅Docker Hub上的官方Nginx构建。默认的Docker Nginx构建使用Debian Jessie，因此无法解决您的问题，但它们还提供了基于Alpine Linux的替代构建。它的最新版本确实使用OpenSSL 1.0.2！

因此，该解决方案假定您已安装Docker，并且可以运行Nginx Alpine Linux而不是Debian Jessie。

要启动您的Nginx容器：

sudo docker run --name nginx-container -p 80:80 -p 443:443 -v /path/to/your/nginx/directory/:/etc/nginx/ /path/to/your/files/to/serve/:/usr/share/nginx/html/ -d nginx:1.11-alpine

让您开始使用Docker的简短说明：

• docker run：下载Docker映像（在本例中为nginx:1.11-alpine）（如果尚未安装），并基于该映像启动Docker容器
• --name nginx-container：给Docker容器起个名字（您可以使用查看所有正在运行的Docker容器，也可以sudo docker ps使用sudo docker ps -a来查看已停止的容器）
• -p 80:80 -p 443:443：将主机上的端口80和443分别绑定到Docker容器中的端口80和443
• -v /path/to/your/nginx/directory/:/etc/nginx/：将包含Nginx配置的主机系统上的/etc/nginx/目录装入Docker容器中的目录
• /path/to/your/files/to/serve/:/usr/share/nginx/html/：在主机系统上安装一个目录，其中包含您希望Nginx服务的文件
• -d：在后台启动容器（您可以使用停止容器docker stop nginx-container）
• nginx:1.11-alpine：使用此映像从中启动容器（此处列出了官方的Nginx Docker映像）

也有用：

• 用于sudo docker exec nginx-container <command>在容器中运行命令，例如sudo docker exec nginx-container nginx -s reload在主机系统上更改配置文件后重新加载Nginx
• 或用于sudo docker exec -it nginx-container bash在容器中输入bash外壳，以便您可以直接在其中工作（不建议使用，但有时还是有用的）

另一种替代方法是改用BoringSSL，这不会损害OpenSSL的环境。这是要参考的详细信息，https：//www.admon.org/hardwares/enable-http2-support-for-nginx-on-debian-jessie

在我的情况下，我使用了Dotdeb apt存储库。该网站的说明提供了一个添加存储库的选项，该存储库使您可以安装具有“完全” HTTP2支持的Nginx。当前版本是1.14，比上一个发行版落后一个小，所以您不会落后太多（当前backport是1.10）。