Попытка перейти на HTTP/2. В чем моя ошибка?

Question

[rgz]

Здравствуйте. Есть ресурс на vps:

• debian 8
  
• https (let's encrypt)
  
• apache
  

Решил перейти на http/2:
Сервер Апач. Обновил до 2.4.37.
включил модуль http2
a2enmod http2
Перезагрузил apachectl -t && systemctl restart apache2
Добавил конфиг

bash -c 'cat >/etc/apache2/conf-available/http2.conf' <<EOF
Protocols h2 h2c http/1.1

H2Push          on
H2PushPriority  *                       after
H2PushPriority  text/css                before
H2PushPriority  image/jpeg              after   32
H2PushPriority  image/png               after   32
H2PushPriority  application/javascript  interleaved

SSLProtocol all -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite 'EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA !RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS'

EOF

Перезагрузил апач. Но протокол по прежнему http/1.1
Кэш чистил

Так же пробовал добавлять в virtualhost
Protocols h2 h2c http/1.1
Мод включен (apache2ctl -M показывает)
Вопрос: что я забыл? Почему не работает?

Спасибо.

Comments

[ky0]

Почему апач-то? Решили проактуализировать технологии - ставьте нгинкс заодно.

[stratosmi]

Переадресацию поставили с http на https?
HTTP/2 - только по https

[stratosmi]

ky0,

Почему апач-то? Решили проактуализировать технологии - ставьте нгинкс заодно.

Потому что это разные задачи.
nginx vs Apache - холивар не на тему http/1.1 vs http/2,
а на тему как отрабатывают воркеры, как их нужно изолировать и т.п.

[rgz]

stratosmi, переадресация есть. Ничего не помогает

[rgz]

ky0, для drupal 7 рекомендуют апач в офиц. документации, либо связку apache+nginx

[ky0]

rgz, рад за них, но в конце концов всё упирается в производительность сервиса PHP, правда ведь?

Answer 1

[Андрей]

1. у вас апач какой версии? 2.4.24 или старше?
2. http2 просто включается добавлением строки Protocols h2 h2c http/1.1 в головной конфиг апача.
3. Банальный вопрос после правки конфига апача ребутили апач? ssl сертификаты подрублены верно?
4. Ну и напоследок банальный вопрос после правки конфига апача ребутили апач?
5. Если 1-4 пункт всё ок то у вас mpm_prefork который не совместим с http2 перейдите на event. Но придётся php пересобрать/перейти на php-fpm. (Ну и само собой апач становится по сути не нужен)
6. Проверить http2 можно Вот тут
Других вариантов быть не может Скорее всего проблема в 5ом пункте описаным мною.

Answer 2

[Дмитрий Кузнецов]

А вы сами сертификаты подтянули в конфиг?

Comments

[rgz]

В конфиг Апач?
Сертификаты есть в VirtualHost conf

SSLEngine On
        SSLCertificateFile /etc/letsencrypt/live/site.com/cert.pem
        SSLCertificateKeyFile /etc/letsencrypt/live/site.com/privkey.pem
        SSLCertificateChainFile /etc/letsencrypt/live/site.com/chain.pem

[Дмитрий Кузнецов]

rgz, странно. Лично я делал это через VestaCP. Он сам сразу подгружает необходимые сертификаты и помещает их в NGINX. Как приеду домой - посмотрю конфиг апача. Если что скину.

[rgz]

Дмитрий Кузнецов, ок, спасибо

[Дмитрий Кузнецов]

rgz, как то так:

Apache config

<VirtualHost 192.168.0.100:8443>

    ServerName mysite.ru
    ServerAlias www.mysite.ru
    ServerAdmin [e-mail]
    DocumentRoot /usr/local/vesta/data/templates/web/suspend
    ScriptAlias /cgi-bin/ /home/admin/web/mysite.ru/cgi-bin/
    Alias /vstats/ /home/admin/web/mysite.ru/stats/
    Alias /error/ /home/admin/web/mysite.ru/document_errors/
    #SuexecUserGroup admin admin
    CustomLog /var/log/apache2/domains/mysite.ru.bytes bytes
    CustomLog /var/log/apache2/domains/mysite.ru.log combined
    ErrorLog /var/log/apache2/domains/mysite.ru.error.log
    <Directory /usr/local/vesta/data/templates/web/suspend>
        AllowOverride All
        SSLRequireSSL
        Options +Includes -Indexes +ExecCGI
        php_admin_value upload_max_filesize 10M
        php_admin_value max_execution_time 20
        php_admin_value post_max_size  8M
        php_admin_value memory_limit 32M
        php_admin_flag mysql.allow_persistent  off
        php_admin_flag safe_mode off
        php_admin_value sendmail_path "/usr/sbin/sendmail -t -i -f [e-mail]"
        php_admin_value open_basedir /usr/local/vesta/data/templates/web/suspend:/home/admin/tmp:/bin:/usr/bin:/usr/local/bin:/var/www/html:/tmp:/usr/share:/etc/phpMyAdmin:/etc/phpmyadmin:/var/lib/phpmyadmin:/etc/roundcubemail:/etc/roundcube:/var/lib/roundcube
        php_admin_value upload_tmp_dir /home/admin/tmp
        php_admin_value session.save_path /home/admin/tmp
    </Directory>
    <Directory /home/admin/web/mysite.ru/stats>
        AllowOverride All
    </Directory>
    SSLEngine on
    SSLVerifyClient none
    SSLCertificateFile /home/admin/conf/web/ssl.mysite.ru.crt
    SSLCertificateKeyFile /home/admin/conf/web/ssl.mysite.ru.key
    SSLCertificateChainFile /home/admin/conf/web/ssl.mysite.ru.ca
    <IfModule mod_ruid2.c>
        RMode config
        RUidGid admin admin
        RGroups www-data
    </IfModule>
    <IfModule itk.c>
        AssignUserID admin admin
    </IfModule>

    IncludeOptional /home/admin/conf/web/sapache2.mysite.ru.conf*

</VirtualHost>

NGINX

server {
    listen      192.168.0.100:443 http2;
    server_name mysite.ru www.mysite.ru;
    ssl         on;
    ssl_certificate      /home/admin/conf/web/ssl.mysite.ru.pem;
    ssl_certificate_key  /home/admin/conf/web/ssl.mysite.ru.key;
    error_log  /var/log/httpd/domains/mysite.ru.error.log error;

    location / {
        proxy_pass      https://192.168.0.100:8443;
        location ~* ^.+\.(jpeg|jpg|png|gif|bmp|ico|svg|tif|tiff|css|js|htm|html|ttf|otf|webp|woff|txt|csv|rtf|doc|docx|xls|xlsx|ppt|pptx|odf|odp|ods|odt|pdf|psd|ai|eot|eps|ps|zip|tar|tgz|gz|rar|bz2|7z|aac|m4a|mp3|mp4|ogg|wav|wma|3gp|avi|flv|m4v|mkv|mov|mpeg|mpg|wmv|exe|iso|dmg|swf)$ {
            root           /usr/local/vesta/data/templates/web/suspend;
            access_log     /var/log/httpd/domains/mysite.ru.log combined;
            access_log     /var/log/httpd/domains/mysite.ru.bytes bytes;
            expires        max;
            try_files      $uri @fallback;
        }
    }

    location /error/ {
        alias   /home/admin/web/mysite.ru/document_errors/;
    }

    location @fallback {
        proxy_pass      https://192.168.0.100:8443;
    }

    location ~ /\.ht    {return 404;}
    location ~ /\.svn/  {return 404;}
    location ~ /\.git/  {return 404;}
    location ~ /\.hg/   {return 404;}
    location ~ /\.bzr/  {return 404;}

    include /home/admin/conf/web/snginx.mysite.ru.conf*;
}

[rgz]

Дмитрий Кузнецов, спасибо, но я здесь не вижу каких либо настроек http/2

[Дмитрий Кузнецов]

rgz, если не ошибаюсь, то это: SSLRequireSSL.
А у меня для этих целей используется NGINX.

Answer 3

[Пума Тайланд]

В site enabled включите хттп2 для хттпс

Comments

[rgz]

Вы имеете ввиду это?

<VirtualHost *:443>
ServerName site.com
        ServerAdmin webmaster@localhost
        DocumentRoot /var/www/drupal
		Protocols h2 h2c http/1.1

[Пума Тайланд]

rgz, ну да

[rgz]

Пума Тайланд, не работает. модуль включен в mods-enabled и в conf-enabled включено http2.conf, где задан http/2 глобально для всех хостов

Protocols h2 h2c http/1.1

H2Push          on
H2PushPriority  *                       after
H2PushPriority  text/css                before
H2PushPriority  image/jpeg              after   32
H2PushPriority  image/png               after   32
H2PushPriority  application/javascript  interleaved

SSLProtocol all -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCipherSuite 'EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH+aRSA+RC4 EECDH EDH+aRSA !RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS'

но так же и в VirtualHost прописано Protocols h2 h2c http/1.1
и все равно не работает. Не пойму почему...

[Пума Тайланд]

А чем проверяете?
Кинули бы сразу ссылку на сайт

[rgz]

Пума Тайланд, проверяю через отладчик chrome 70, firefox и тд, а так же через ssllabs
Ссылку не могу, т.к. нет разрешения от автора сайта...

Answer 4

[rgz]

Решил проблему. Если кто будет искать, то вот решение:
«стандартный» модуль Апач "prefork" не очень совместим с HTTP/2, поэтому Вам нужно использовать более подходящий. Выключаем один, включаем другой, перезагружаем Apache.

sudo a2dismod mpm_prefork
sudo a2enmod mpm_event
service apache2 restart