Global Accelerator：GA使用HTTP/2協議串連後端服務

如何協商HTTP/2

在HTTPS的協議協商中，用戶端與服務端必須建立TLS串連後才能發送應用資料。引入HTTP/2協議版本後，需要在協商機制中加入應用程式層協議協商ALPN（Application Layer Protocol Negotiation），用戶端和服務端會通過ALPN協商確定使用的協議版本。

Global Accelerator中指定HTTP/2協議後，在TLS握手過程中，Global Accelerator會在Client Hello的ALPN欄位中指定支援的協議版本為h2，同時會忽略服務端在Server Hello的ALPN欄位中響應的協議版本，強制使用HTTP/2協議版本串連後端服務。

情境樣本

使用限制

Global Acceleration配置HTTP/2協議版本串連後端服務，有以下使用限制：

• 如果您的GA執行個體不支援選擇串連後端服務的協議版本，可能是由於執行個體版本不支援。如需使用，請向商務經理申請升級執行個體。

• 不支援WebSocket協議。

• 不支援HTTP/2協議中的伺服器推送（Server Push）特性。

• 不支援加速以HTTP/2為基礎的gRPC請求。

前提條件

• 您已在認證中心購買或上傳伺服器憑證。具體操作，請參見購買正式認證和上傳和共用SSL認證。

• 您已將認證檔案上傳至後端伺服器。具體操作，請參見通過雲助手上傳檔案到ECS執行個體。

• 您的後端伺服器已部署了HTTPS 443服務，並啟用了HTTP/2協議版本。

  請確保已在後端伺服器所屬安全性群組規則入方向添加TCP 443連接埠。具體操作，請參見添加安全性群組規則。

  參考樣本：在阿里雲ECS中使用Nginx配置HTTPS 443服務並啟用HTTP/2

  1. 執行以下命令，安裝Nginx，並部署測試應用樣本。

     yum install -y nginx
     cd /usr/share/nginx/html/
     echo "Hello World ! This is ECS." > index.html

  2. 執行以下命令，建立認證與私密金鑰目錄。

     mkdir -p /etc/pki/nginx/private/

  3. 執行以下命令，進入Nginx設定檔nginx.conf，修改協議版本配置，然後儲存並退出。

     vim /etc/nginx/nginx.conf

     配置如下：

     # For more information on configuration, see:
     #   * Official English Documentation: http://nginx.org/en/docs/
     #   * Official Russian Documentation: http://nginx.org/ru/docs/
     
     user nginx;
     worker_processes auto;
     error_log /var/log/nginx/error.log;
     pid /run/nginx.pid;
     
     
     events {
         worker_connections 1024;
     }
     
     http {
         log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                           '$status $body_bytes_sent "$http_referer" '
                           '"$http_user_agent" "$http_x_forwarded_for" "$server_protocol"';
         access_log  /var/log/nginx/access.log  main;
         sendfile            on;
         tcp_nopush          on;
         tcp_nodelay         on;
         keepalive_timeout   65;
         types_hash_max_size 4096;
     
         include             /etc/nginx/mime.types;
         default_type        application/octet-stream;
         server {
             #啟用HTTP/2協議版本
             listen       443 ssl http2;
             listen       [::]:443 ssl http2;
             server_name  _;
             root         /usr/share/nginx/html;
     
             #填寫認證檔案路徑
             ssl_certificate "/etc/pki/nginx/<cert-file-name>.pem";
             #填寫認證私密金鑰檔案路徑
             ssl_certificate_key "/etc/pki/nginx/private/<cert-file-name>.key";
             ssl_session_cache shared:SSL:1m;
             ssl_session_timeout  10m;
             ssl_ciphers PROFILE=SYSTEM;
             ssl_prefer_server_ciphers on;
     
     
             error_page 404 /404.html;
                 location = /40x.html {
             }
     
             error_page 500 502 503 504 /50x.html;
                 location = /50x.html {
             }
         }
     
     }

  4. 執行以下命令，重啟Nginx服務。

     systemctl restart nginx.service

• 您已建立Global Accelerator執行個體，並已將後端伺服器添加為Global Acceleration的終端節點，設定後端服務合約為HTTPS。具體操作，請參見建立和管理標準型Global Acceleration執行個體。

• 認證綁定的網域名稱已完成DNS解析，即您的網域名稱與Global Accelerator執行個體分配的CNAME地址相互映射。具體操作，請參見配置CNAME。

配置HTTP/2協議串連後端服務

此處僅介紹本文情境所涉及的關鍵配置項，關於終端節點群組配置項更多資訊，請參見添加和管理智能路由類型監聽的終端節點群組。

1. 登入Global Acceleration管理主控台。

2. 在執行個體列表頁面，找到目標Global Acceleration執行個體，在操作列單擊配置監聽。

3. 在監聽頁簽下，找到目標監聽，然後在操作列單擊編輯節點群組。

4. 在配置監聽和協議設定精靈頁面，單擊下一步。

5. 在配置終端節點設定精靈頁面，配置協議版本為HTTP/2，然後單擊下一步。

   

6. 在組態稽核設定精靈頁面，確認資訊，然後單擊提交。

結果驗證

您可以在終端節點群組中配置協議版本為HTTP/2之前以及之後，分別執行以下操作步驟，以驗證HTTP/2協議是否生效。

1. 在中國香港地區用戶端開啟瀏覽器，輸入https://<加速網域名稱>，可以正常訪問後端服務。

2. 在美國矽谷地區的後端伺服器開啟命令列視窗，執行以下命令，查看最近一次的訪問記錄。

   通過返回的訪問記錄詳情，可以查看訪問請求轉寄至後端伺服器所使用的協議版本。

   tail -n 1 /var/log/nginx/access.log

   配置協議版本前，返回訪問記錄如下：配置協議版本為HTTP/2後，返回訪問記錄如下：

   

相關文檔