Как понять, почему не включается HTTP/2?

Question

[Алексей Уколов]

Debian 7.
Обновил nginx с 1.6 до 1.10, дописал заветные символы http2 в директиву listen, перезапустил nginx. Но сайт продолжает отдаваться по HTTP/1.1.
Сертификат есть, настроен давно, в панели Security в DevTools всё зелёное, никаких ошибок. Браузер HTTP/2 поддерживает, разумеется. Конфиг nginx проверку проходит, при перезагрузке никаких ошибок. В логах только одно предупреждение:

2016/06/27 15:49:33 [warn] 24676#24676: duplicate MIME type "text/html" in /etc/nginx/nginx.conf:37

В выводе nginx -V есть флаг --with-http_v2_module.
Есть два нюанса:

1. Nginx выступает в качестве фронтенда и проксирует запросы к apache.
   
2. В директиве listen указан не только порт, но и ip: listen 1.2.3.4:443 ssl http2 default_server;.
   

Куда смотреть, что крутить?

Comments

[littleguga]

ОС какая?

[Алексей Уколов]

littleguga: debian 7

[littleguga]

Алексей Уколов: если сертификаты делали через OpenSSL, то он должен быть выше 1.0.2d, вот по этому вопросу проверяли? serverfault.com/questions/732474/nginx-configured-...

[Fixid]

Поставьте HTTP/2 and SPDY indicator для Firefox и покажите результат.
Напишите ваши chipers, проблема 99% в них

[Алексей Уколов]

Я использую Хром. В DevTools в качестве протокола http/1.1.

[Алексей Уколов]

littleguga: сертификаты покупные, но на сервере 1.0.1. Тоже нашёл в документации указание на 1.0.2, попробую обновить.

[littleguga]

Алексей Уколов: в сертификатах используется ALPN или NPN? Проверить можно

echo | openssl s_client -alpn h2 -connect yourserver.example.com:443 | grep ALPN

Если NPN, то проблема однозначно в этом.

[Алексей Уколов]

littleguga: да, уже проверил. Именно NPN, про ALPN серверный openssl вообще ничего не знает.

[littleguga]

Алексей Уколов: если вопрос решится, отпишите, пожалуйста.

[Алексей Уколов]

littleguga: я на 99% уверен, что дело в старой версии openssl, но обновляться она что-то отказывается, так что процесс проверки может занять довольно долгое время. Но о результате я обязательно напишу.

[Алексей Уколов]

littleguga: да, дело было в старой версии openssl.

Answer 1

[Lynn «Кофеман»]

https://www.nginx.com/blog/supporting-http2-google...

Нужет OpenSSL 1.0.2g или выше

Answer 2

[Алексей Уколов]

Исчерпывающая статья по теме: https://victor.4devs.io/en/architecture/nginx-http...