Ubuntu20.04でHTTP/2サポートを使用してNginxを設定する方法

投稿日: 2022-07-14 2022-10-16
タグ: Let's Encrypt, nginx, ubuntu, Ubuntu 20.04

このチュートリアルの以前のバージョンは、 SergeyZhukaevによって作成されました。

序章

Nginx は、高速で信頼性の高いオープンソースWebサーバーです。メモリーフットプリントが低く、スケーラビリティが高く、構成が簡単で、さまざまなプロトコルをサポートしているため、人気を博しました。

HTTP / 2は、ハイパーテキストトランスポートプロトコルの新しいバージョンであり、サーバーからブラウザにページを配信するためにWebで使用されます。 HTTP / 2は、ほぼ20年ぶりのHTTPのメジャーアップデートです。HTTP1.1は、Webページのサイズがはるかに小さかった1999年に一般に公開されました。それ以来、インターネットは劇的に変化し、現在HTTP1.1の制限に直面しています。このプロトコルは、キュー内のページの一部をダウンロードするため、ほとんどの最新のWebサイトの潜在的な転送速度を制限します。前の部分は、次の部分のダウンロードを開始する前に完全にダウンロードする必要があります。平均的な最新のWebページは、数十の個別のCSS、javascript、および画像アセット。

HTTP / 2は、いくつかの基本的な変更をもたらすため、この問題を解決します。

すべてのリクエストは、キューではなく並行してダウンロードされます
HTTPヘッダーは圧縮されています
ページはテキストファイルとしてではなく、バイナリとして転送されます。これはより効率的です
サーバーは、ユーザーの要求がなくてもデータを「プッシュ」できるため、待ち時間が長いユーザーの速度が向上します。

HTTP / 2は暗号化を必要としませんが、最も人気のある2つのブラウザであるGoogleChromeとMozillaFirefoxの開発者は、セキュリティ上の理由から、HTTPS接続に対してのみHTTP/2をサポートすると述べています。したがって、HTTP / 2をサポートするサーバーをセットアップする場合は、HTTPSでサーバーを保護する必要もあります。

このチュートリアルは、HTTP/2をサポートする高速で安全なNginxサーバーをセットアップするのに役立ちます。

前提条件

始める前に、いくつかのことが必要になります。

Ubuntu20.04初期サーバーセットアップガイドに従ってセットアップされたUbuntu20.04サーバー。sudo非rootユーザーとファイアウォールが含まれます。
Nginxがサーバーにインストールされています。これは、 Ubuntu20.04にNginxをインストールする方法に従って実行できます。
サーバーを指すように構成されたドメイン名。 Namecheap で購入するか、Freenomで無料で入手できます。 DigitalOceanでドメインを管理する方法のドキュメントに従って、ドメインをDigitalOceanドロップレットにポイントする方法を学ぶことができます。
サーバー用に構成されたTLS/SSL証明書。 You have two options:
- Let’s Encrypt から、 Ubuntu20.04でLet’sEncryptを使用してNginxを保護する方法に従って無料の証明書を取得できます。
- Ubuntu 20.04 でNginxの自己署名SSL証明書を作成する方法に従って、自己署名証明書を生成および構成することもできます。
ポートからのトラフィックをリダイレクトするように構成されたNginx 80 ポートへ 443、これは前の前提条件でカバーされている必要があります。
Nginxは、2048ビット以上のEphemeral Diffie-Hellman（DHE）キーを使用するように構成されています。これは、以前の前提条件でもカバーされている必要があります。

ステップ1— HTTP/2サポートを有効にする

Nginxインストールチュートリアルのサーバーブロックのセットアップ手順に従った場合は、ドメインのサーバーブロックが次の場所にあるはずです。 /etc/nginx/sites-available/your_domain とともに server_name ディレクティブはすでに適切に設定されています。最初に行う変更は、HTTP/2を使用するようにドメインのサーバーブロックを変更することです。

を使用してドメインの構成ファイルを開きます nano またはお好みの編集者：

sudo nano /etc/nginx/sites-enabled/your_domain

ファイルで、 listen ポートに関連付けられた変数 443:

/ etc / nginx / sites-enabled / your_domain

...
    listen [::]:443 ssl ipv6only=on; 
    listen 443 ssl; 
...

1つ目はIPv6接続用です。 2つ目は、すべてのIPv4接続用です。両方に対してHTTP/2を有効にします。

それぞれを変更する listen 含めるディレクティブ http2:

/ etc / nginx / sites-enabled / your_domain

...
    listen [::]:443 ssl http2 ipv6only=on; 
    listen 443 ssl http2; 
...

これは、サポートされているブラウザでHTTP/2を使用するようにNginxに指示します。

構成ファイルを保存して、テキストエディターを終了します。使用している場合 nano、押す Ctrl+X 次に、プロンプトが表示されたら、 Y 次にEnterキーを押します。

Nginx構成ファイルに変更を加えるときはいつでも、を使用して構成にエラーがないか確認する必要があります。 -t Nginxの組み込み構文チェックコマンドを実行するフラグ：

sudo nginx -t

構文にエラーがない場合は、次のような出力が表示されます。

sudonginx-tの出力

nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

次に、サーバーのセキュリティを向上させるために、より制限の厳しい暗号リストを使用するようにNginxサーバーを構成します。

ステップ2—古くて安全でない暗号スイートを削除する

HTTP / 2には、避けるべき古くて安全でない暗号のblocklistがあります。暗号スイートは、転送されたデータを暗号化する方法を記述する暗号化アルゴリズムです。

暗号を定義するために使用する方法は、NginxのTLS/SSL証明書をどのように構成したかによって異なります。

Certbotを使用して証明書を取得した場合は、ファイルも作成されます /etc/letsencrypt/options-ssl-nginx.conf HTTP/2に対して十分に安全ではない暗号が含まれています。ただし、このファイルを変更すると、Certbotが将来更新を適用できなくなるため、Nginxにこのファイルを使用しないように指示し、独自の暗号リストを指定します。

ドメインのサーバーブロック構成ファイルを開きます。

sudo nano /etc/nginx/sites-enabled/your_domain

を含む行を見つけます options-ssl-nginx.conf ファイルを追加してコメントアウトする # 行頭の文字：

/ etc / nginx / sites-enabled / your_domain


# include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot

その行の下に、次の行を追加して、許可される暗号を定義します。

/ etc / nginx / sites-enabled / your_domain


ssl_ciphers EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;

ファイルを保存して、エディターを終了します。

自己署名証明書を使用した場合、またはサードパーティの証明書を使用し、前提条件に従って構成した場合は、ファイルを開きます /etc/nginx/snippets/ssl-params.conf テキストエディタで：

sudo nano /etc/nginx/snippets/ssl-params.conf

次の行を見つけます。

/etc/nginx/snippets/ssl-params.conf

...
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384;
...

次の暗号リストを使用するように変更します。

/etc/nginx/snippets/ssl-params.conf


...
ssl_ciphers EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;

ファイルを保存して、エディターを終了します。

もう一度、を使用して構文エラーの構成を確認します nginx -t 指図：

sudo nginx -t

エラーが発生した場合は、それらに対処して再テストしてください。

構成が構文チェックに合格したら、を使用してNginxを再起動します systemctl 指図：

sudo systemctl reload nginx.service

サーバーを再起動したら、サーバーが機能することを確認しましょう。

ステップ3— HTTP/2が有効になっていることを確認する

サーバーが実行され、HTTP/2で動作していることを確認しましょう。

使用 curl サイトにリクエストを送信してヘッダーを表示するコマンド：

curl -I -L --http2 https://your_domain

次のような出力が表示されます。

HTTP/2 200
server: nginx/1.18.0 (Ubuntu)
date: Wed, 10 Nov 2021 17:53:10 GMT
content-type: text/html
content-length: 612
last-modified: Tue, 09 Nov 2021 23:18:37 GMT
etag: "618b01cd-264"
accept-ranges: bytes

HTTP/2がGoogleChromeで使用されていることを確認することもできます。 Chromeを開き、に移動します https://your_domain. Chromeデベロッパーツールを開き（ビュー->デベロッパー->デベロッパーツール）、ページをリロードします（ビュー-> このページをリロード）。 ネットワークタブに移動し、名前で始まるテーブルヘッダー行を右クリックして、ポップアップメニューからプロトコルオプションを選択します。

を含む新しいProtocol列が作成されます h2 （HTTP / 2の略）、HTTP/2が機能していることを示します。

この時点で、HTTP/2プロトコルを介してコンテンツを提供する準備が整いました。 HSTSを有効にして、セキュリティとパフォーマンスを向上させましょう。

ステップ4— HTTP Strict Transport Security（HSTS）を有効にする

HTTPリクエストはHTTPSにリダイレクトされますが、 HTTP Strict Transport Security （HSTS）を有効にして、これらのリダイレクトを実行する必要をなくすことができます。ブラウザがHSTSヘッダーを検出した場合、ブラウザは指定された期間、通常のHTTP経由でサーバーへの接続を再試行しません。いずれにせよ、暗号化されたHTTPS接続のみを使用してデータを交換します。このヘッダーは、プロトコルダウングレード攻撃からも保護します。

ドメインのサーバーブロック構成ファイルを再度開きます。

sudo nano /etc/nginx/your_domain

HSTSを有効にするには、SSL暗号を含むファイルの同じブロックに次の行を追加します。

/ etc / nginx / your_domain

server {
...
    ssl_ciphers EECDH+CHACHA20:EECDH+AES128:RSA+AES128:EECDH+AES256:RSA+AES256:EECDH+3DES:RSA+3DES:!MD5;
    add_header Strict-Transport-Security "max-age=15768000" always;
}
...

The max-age 秒単位で設定されます。値 15768000 6か月に相当します。

デフォルトでは、このヘッダーはサブドメインリクエストに追加されません。サブドメインがあり、HSTSをそれらすべてに適用する場合は、サブドメインを追加する必要があります。 includeSubDomains 次のように、行末の変数：

/ etc / nginx / your_domain

add_header Strict-Transport-Security "max-age=15768000; includeSubDomains" always;

ファイルを保存し、エディターを終了します。

もう一度、構文エラーがないか構成を確認します。

sudo nginx -t

最後に、Nginxサーバーを再起動して変更を適用します。

sudo systemctl reload nginx.service

結論

NginxサーバーはHTTP/2ページを提供しています。 SSL接続の強度をテストする場合は、 Qualys SSL Lab にアクセスして、サーバーに対してテストを実行してください。すべてが適切に構成されている場合は、セキュリティのためにA+マークを取得する必要があります。

Nginxがサーバーブロックルールを解析および実装する方法の詳細については、Nginxサーバーとロケーションブロック選択アルゴリズムについてをお読みください。

getdocs

13036