Nginx部署HTTP/3的实现步骤

在 Nginx 中部署 HTTP/3（其前身为 QUIC）需要一个特定的、支持 QUIC 的 Nginx 版本，因为标准的稳定版 Nginx 尚未原生包含此功能。

目前，部署 HTTP/3 最可靠的方法是使用 Cloudflare 维护的 QUIC 分支，或者等待该功能正式合并到 Nginx 主线中。

以下是基于 Cloudflare QUIC 分支的详细部署步骤：

前提条件

1. 操作系统：本文以 Ubuntu 为例，其他 Linux 发行版步骤类似。
2. 域名与 SSL 证书：需要一个有效的域名和该域名对应的 SSL 证书（例如，从 Let‘s Encrypt 获取）。HTTP/3 强制使用加密。
3. 编译环境：需要安装基本的编译工具和依赖库。
4. 防火墙：确保防火墙开放 UDP 443 端口（HTTP/3 基于 UDP），而不仅仅是 TCP 443（HTTPS）。

第一步：安装必要的依赖库

首先，更新软件包列表并安装编译 Nginx 所需的开发工具和库。

sudo apt update
sudo apt install build-essential mercurial pkg-config \
                 libpcre3-dev zlib1g-dev libssl-dev \
                 git cmake golang

• mercurial：Cloudflare 的代码托管在 Mercurial 上，需要此工具来拉取代码。
• libssl-dev：提供 SSL/TLS 支持（BoringSSL 或 OpenSSL 需要）。
• git, cmake, golang：编译 BoringSSL（QUIC 的加密库）所必需。

第二步：获取并构建 BoringSSL

Nginx 的 QUIC 实现推荐使用 Google 的 BoringSSL 而不是 OpenSSL。

# 1. 创建一个工作目录并进入
mkdir ~/nginx-quic && cd ~/nginx-quic

# 2. 克隆 BoringSSL 仓库
git clone https://github.com/google/boringssl.git
cd boringssl

# 3. BoringSSL 需要 Go 来编译
mkdir build
cd build
cmake ..
make -j$(nproc) # 使用所有可用的 CPU 核心进行编译

# 4. 将编译好的库安装到系统目录
sudo make install

第三步：获取 Nginx QUIC 分支代码

使用 Mercurial 克隆 Cloudflare 的 Nginx QUIC 分支。

# 返回到工作目录根目录
cd ~/nginx-quic

# 克隆代码
hg clone -b quic https://hg.nginx.org/nginx-quic

第四步：编译 Nginx

现在配置并编译支持 HTTP/3 的 Nginx。

cd nginx-quic

# 运行配置脚本，指定 BoringSSL 路径和其他模块
./auto/configure --with-debug \
                 --with-http_v3_module \          # 启用 HTTP/3 模块
                 --with-http_ssl_module \         # 启用 SSL 模块
                 --with-cc-opt="-I/usr/local/include" \
                 --with-ld-opt="-L/usr/local/lib" \
                 --with-stream_quic_module        # 启用 QUIC 流模块

# 编译并安装
make -j$(nproc)
sudo make install

默认安装路径是 /usr/local/nginx/。

第五步：配置 Nginx

关键的一步是修改 Nginx 的配置文件 (/usr/local/nginx/conf/nginx.conf)，在 server 块中启用 HTTP/3。

# 在 http 块中的 server 配置
server {
    listen       443 ssl;
    listen       443 quic reuseport; # 关键：启用 QUIC 并开启 reuseport

    # 你的域名
    server_name  your_domain.com;

    # SSL 证书路径（必须）
    ssl_certificate      /path/to/your/fullchain.pem;
    ssl_certificate_key  /path/to/your/privkey.pem;

    # 启用 TLS 1.3，它与 HTTP/3 配合得更好
    ssl_protocols        TLSv1.2 TLSv1.3;

    # 告诉浏览器此服务器支持 HTTP/3
    add_header Alt-Svc 'h3=":443"; ma=86400'; # 重要：端口必须与监听端口一致

    # 你的网站根目录和其他配置
    location / {
        root   html;
        index  index.html index.htm;
    }
}

配置说明：

1. listen 443 quic reuseport;：
   • quic：指示 Nginx 在此端口上监听 QUIC（HTTP/3）连接。
   • reuseport：为每个工作进程创建一个独立的套接字，显著提升 QUIC 性能。
2. add_header Alt-Svc：
   • 这是浏览器发现服务器支持 HTTP/3 的机制。
   • 当浏览器第一次通过 HTTPS（TCP）访问时，Nginx 会在响应头中返回 Alt-Svc，告诉浏览器：“这个站点在 UDP 443 端口也支持 HTTP/3（h3），下次你可以尝试用那个。”
   • ma=86400 表示此信息可以缓存 86400 秒（一天）。

第六步：启动 Nginx 并测试

1. 启动 Nginx：

   sudo /usr/local/nginx/sbin/nginx
   

2. 检查 UDP 443 端口是否监听：

   sudo ss -lanu | grep 443
   

   你应该能看到 Nginx 进程在监听 UDP 443 端口。

3. 使用在线工具测试：

   • 访问 https://http3.check
   • 输入你的域名进行测试。如果配置成功，它会显示 “HTTP/3 is supported”。

4. 使用浏览器开发者工具检查：

   • 用 Chrome 或 Edge 访问你的网站。
   • 打开 开发者工具 (F12) -> 网络 (Network) 选项卡。
   • 刷新页面。
   • 点击域名请求，在 标头 (Headers) 部分查看 protocol 字段。如果显示 h3，则表示此次连接是通过 HTTP/3 进行的。
   • 你也可以在响应头中看到 alt-svc 的声明。

常见问题与故障排除

• 编译错误：最常见的是依赖问题。确保所有依赖库都已正确安装，并且 BoringSSL 的路径正确。
• Nginx 启动报错：检查配置文件语法：sudo /usr/local/nginx/sbin/nginx -t。
• 检测不到 HTTP/3：
  • 确保防火墙放行了 UDP 443 端口。
  • 清除浏览器缓存，或者尝试使用隐身模式。浏览器可能需要几次 TCP 访问后才会尝试切换到 QUIC。
  • 检查 alt-svc 头是否正确发送。可以使用 curl -I https://your_domain.com 查看响应头。
• 性能调优：QUIC 是一个新的传输协议，可能需要针对你的网络环境调整 keepalive_timeout、stream_quic_required_address 等参数。

总结

部署 HTTP/3 目前仍然需要一些手动编译和配置工作，但遵循上述步骤应该可以成功。核心要点是：

1. 使用 Cloudflare 的 Nginx QUIC 分支。
2. 编译依赖 BoringSSL。
3. Nginx 配置中两个关键指令：listen ... quic reuseport; 和 add_header Alt-Svc ...。
4. 确保防火墙开放 UDP 443 端口。

随着标准的成熟，未来主线的 Nginx 版本肯定会原生支持 HTTP/3，届时部署过程将会大大简化。

到此这篇关于Nginx部署HTTP/3的实现步骤的文章就介绍到这了,更多相关Nginx部署HTTP/3内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！