راه‌اندازی Nginx با HTTP/3 و بررسی واقعی QUIC

این بار معیار موفقیت فقط باز شدن صفحه نیست؛ باید ثابت کنیم HTTP/3 واقعاً تا سرور اصلی کار می‌کند. QUIC از UDP استفاده می‌کند، درحالی‌که HTTP/1.1 و HTTP/2 روی TCP هستند. شمارهٔ پورت می‌تواند برای هر دو 443 باشد، چون نوع انتقال متفاوت است. این آزمایش ادعای سریع‌تر شدن سایت ندارد.

روی ماشین مجازی تازه و مطابق انتخابگر کار کن. خروجی دستورها باید systemd را به‌عنوان پردازش شمارهٔ یک نشان بدهد. نصب جداگانهٔ این آموزش در /opt/nginx-quic قرار می‌گیرد؛ نباید سایت موجود را از پورتش بیرون کند. h3.example.com نمونه است و باید در تمام فایل‌ها و دستورها با دامنهٔ واقعی عوض شود.

رکورد A را به IPv4 همین سرور بده و دامنهٔ آزمایش را بدون proxy/CDN نگه دار؛ ممکن است CDN خودش HTTP/3 را پاسخ بدهد و وضعیت origin پنهان بماند. فایل نمونه فقط IPv4 را پوشش می‌دهد. برای انتشار AAAA باید listenerهای [::]:80 و [::]:443 ssl و [::]:443 quic، مسیریابی و فایروال IPv6 را هم جداگانه اضافه و بررسی کنی.

cat /etc/os-release
uname -m
ps -p 1 -o comm=
sudo ss -lntup

در بررسی ۲۰ اکتبر ۲۰۲۶، نسخهٔ پایدار رسمی Nginx برابر 1.30.6 است و یادداشت انتشار آن اصلاح‌های امنیتی دارد. جدول بسته‌های nginx.org، نسخه‌های Ubuntu 22.04، 24.04 و 26.04 را آورده اما 26.10 را ندارد. استفاده از مخزنِ کدنیم نسخه‌ای دیگر، راه‌حل این فاصله نیست.

برای یکدست بودن مسیر، در همهٔ محیط‌های این آموزش از منبع رسمی می‌سازیم. کامپایلر، کتابخانه‌های PCRE2 و zlib، فایل‌های توسعهٔ OpenSSL و Certbot از توزیع نصب می‌شوند. بعداً apt خودِ باینری Nginx ساخته‌شده را ارتقا نمی‌دهد؛ پیگیری اصلاح‌های امنیتی و ساخت نسخهٔ بعدی بر عهدهٔ مدیر سرور است.

فعلاً فقط آرشیو، امضای جداگانه و کلید توسعه‌دهنده را بگیر. امضای این انتشار متعلق به Sergey Kandaurov است. اثر انگشت کامل کلید باید D6786CE303D9A9022998DC6CC8464D549AF75C0A باشد؛ آن را با منبع رسمی کلید توسعه‌دهنده هم تطبیق بده. کلید امضای مخزن بسته‌ها کاربرد دیگری دارد.

sudo apt update
sudo apt install build-essential libpcre2-dev zlib1g-dev libssl-dev curl ca-certificates gnupg certbot
mkdir -p ~/academy-nginx-source
cd ~/academy-nginx-source
curl -fSLO https://nginx.org/download/nginx-1.30.6.tar.gz
curl -fSLO https://nginx.org/download/nginx-1.30.6.tar.gz.asc
curl -fsS https://nginx.org/keys/pluknet.key -o pluknet.key
gpg --show-keys --with-fingerprint pluknet.key

بعد از تطبیق اثر انگشت، کلید را وارد کن. بررسی امضا باید برای همین آرشیو و امضا موفق شود. اتصال دستورها در پنل باعث می‌شود پس از امضای نامعتبر، استخراج و ساخت اجرا نشود. هشدار دربارهٔ تأیید نکردن شخصی مالک کلید با امضای نامعتبر فرق دارد؛ هویت کلید همچنان باید بررسی شده باشد.

این نصب جدا از بستهٔ Nginx سیستم قرار می‌گیرد و workerها با حساب www-data کار می‌کنند. پنل از دو کار کامپایل استفاده می‌کند؛ در ماشین کم‌حافظه، تعداد کارهای هم‌زمان را به یک کاهش بده.

در خروجی -V، نسخهٔ 1.30.6، گزینهٔ --with-http_v3_module و کتابخانهٔ TLS هنگام ساخت و اجرا را بررسی کن. QUIC به TLS 1.3 نیاز دارد. پیشنهاد upstream، OpenSSL 3.5.1 یا تازه‌تر است؛ نسخه‌های قدیمی‌ترِ قابل استفاده از لایهٔ سازگاری بدون early data استفاده می‌کنند. در این آموزش 0-RTT خاموش می‌ماند و وضعیت آزمایشی ماژول HTTP/3 هم باید در تصمیم استفادهٔ واقعی لحاظ شود.

cd ~/academy-nginx-source
gpg --import pluknet.key
gpg --verify nginx-1.30.6.tar.gz.asc nginx-1.30.6.tar.gz &&
tar -xzf nginx-1.30.6.tar.gz &&
cd nginx-1.30.6 &&
./configure --prefix=/opt/nginx-quic --user=www-data --group=www-data --with-http_ssl_module --with-http_v2_module --with-http_v3_module &&
make -j2 &&
sudo make install
/opt/nginx-quic/sbin/nginx -V 2>&1

محتوای زیر را با دامنهٔ واقعی ذخیره کن. فقط تنظیمات تولیدشدهٔ نصب آزمایشی تازه را جایگزین کن؛ اگر آن را قبلاً تغییر داده‌ای، ابتدا نسخهٔ پشتیبان نگه دار.

شروع با پورت 80 ترتیب کار را ساده می‌کند: ACME ابتدا دامنه را از طریق HTTP تأیید می‌کند و بعد فایل TLS را می‌نویسیم. پوشهٔ webroot فقط فایل نمونه و فایل‌های تأیید دامنه را نگه می‌دارد.

user www-data;
worker_processes auto;
pid /opt/nginx-quic/logs/nginx.pid;
error_log /opt/nginx-quic/logs/error.log warn;
events { worker_connections 1024; }
http {
    include mime.types;
    default_type application/octet-stream;
    server {
        listen 80;
        server_name h3.example.com;
        root /var/www/academy-quic;
        location / { try_files $uri $uri/ =404; }
    }
}

محتوای زیر را در فایل سرویس ذخیره کن. سرویس فقط باینری همین نصب را صدا می‌زند، فایل PID جدا دارد و پیش از شروع یا بارگذاری، اعتبار تنظیمات را می‌سنجد.

پردازش master با root شروع می‌شود تا پورت پایین و کلید محافظت‌شدهٔ گواهی را بخواند؛ workerها با www-data اجرا می‌شوند. برای رفع خطا، کلید خصوصی را عمومی‌خوان نکن. این unit حداقلیِ آموزشی جای بررسی امن‌سازی محیط اصلی را نمی‌گیرد.

[Unit]
Description=WIUNIX Academy Nginx QUIC lab
After=network.target

[Service]
Type=forking
PIDFile=/opt/nginx-quic/logs/nginx.pid
ExecStartPre=/opt/nginx-quic/sbin/nginx -t
ExecStart=/opt/nginx-quic/sbin/nginx
ExecReload=/bin/sh -c '/opt/nginx-quic/sbin/nginx -t && /opt/nginx-quic/sbin/nginx -s reload'
ExecStop=/opt/nginx-quic/sbin/nginx -s quit
TimeoutStopSec=30

[Install]
WantedBy=multi-user.target

صفحهٔ نمونه را با دستورهای زیر ایجاد و سرویس را پس از بررسی فایل اجرا کن. دسترسی SSH و سایت‌های دیگر باید حفظ شوند.

پیش از دسترسی بیرونی، فایروال میزبان، فایروال ارائه‌دهنده و NAT باید برای TCP 80، TCP 443 و UDP 443 هماهنگ باشند. پنل‌های بعد، بررسی UFW و قواعد موردنیاز را جدا نشان می‌دهند.

sudo install -d -m 755 /var/www/academy-quic
printf '%s\n' 'WIUNIX Academy: QUIC lab' | sudo tee /var/www/academy-quic/index.html
sudo /opt/nginx-quic/sbin/nginx -t && sudo systemctl daemon-reload && sudo systemctl enable --now academy-nginx-quic
systemctl is-active academy-nginx-quic

نام واقعی را در هر دو گزینهٔ --cert-name و -d بگذار. Certbot فایل HTTP-01 را در webroot می‌نویسد تا از TCP 80 خوانده شود. درخواست‌های تعاملی مربوط به ایمیل، حساب و توافق‌نامهٔ مشترک را پس از مطالعه پاسخ بده.

فهرست گواهی‌ها در پنل زیر، مرجع نام و مسیر نهایی است. اگر نام از قبل وجود داشته باشد ممکن است پسوند بگیرد؛ در فایل TLS همان مسیر گزارش‌شده را استفاده کن. خطای صدور را با DNS، CAA و دسترسی بیرونی مسیر تأیید بررسی کن.

نسخه‌ای از تنظیمات HTTP سالم ذخیره می‌شود. کلید خصوصی گواهی باید در پوشهٔ محافظت‌شدهٔ مدیریت گواهی بماند و وارد تیکت یا مخزن عمومی نشود.

sudo certbot certonly --webroot -w /var/www/academy-quic --cert-name h3.example.com -d h3.example.com
sudo certbot certificates
sudo cp -a /opt/nginx-quic/conf/nginx.conf /opt/nginx-quic/conf/nginx.conf.http-before

فایل کامل زیر را جای تنظیمات آزمایش بگذار و همهٔ دامنه‌ها و مسیرهای گواهی را اصلاح کن. مسیر challenge همچنان روی HTTP قابل دسترس است؛ درخواست‌های دیگر به hostname ثابتِ HTTPS هدایت می‌شوند.

یک listener برای TLS روی TCP و دیگری برای QUIC روی UDP ساخته می‌شود. TCP می‌تواند TLS 1.2 داشته باشد، ولی QUIC با TLS 1.3 مذاکره می‌کند. reuseport برای همین آدرس و پورت UDP یک‌بار آمده است؛ اگر virtual host اضافه می‌کنی، گزینه‌های listener مشترک باید هماهنگ باشند.

هدر Alt-Svc فقط دسترس‌پذیری h3 را اعلام می‌کند؛ سالم بودن UDP را ثابت نمی‌کند. عمر ۳۰۰ثانیه‌ای آن برای شروع کوتاه نگه داشته شده است. لاگ، پروتکل واقعی درخواست را ثبت می‌کند. 0-RTT را تا بررسی مستقل رفتار درخواست‌های قابل بازپخش خاموش نگه دار.

user www-data;
worker_processes auto;
pid /opt/nginx-quic/logs/nginx.pid;
error_log /opt/nginx-quic/logs/error.log warn;
events { worker_connections 1024; }
http {
    include mime.types;
    default_type application/octet-stream;
    log_format transport '$remote_addr [$time_local] "$request" $status protocol=$server_protocol h3=$http3';
    access_log /opt/nginx-quic/logs/access.log transport;
    server {
        listen 80;
        server_name h3.example.com;
        root /var/www/academy-quic;
        location ^~ /.well-known/acme-challenge/ { try_files $uri =404; }
        location / { return 308 https://h3.example.com$request_uri; }
    }
    server {
        listen 443 ssl;
        listen 443 quic reuseport;
        http2 on;
        http3 on;
        server_name h3.example.com;
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_certificate /etc/letsencrypt/live/h3.example.com/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/h3.example.com/privkey.pem;
        ssl_early_data off;
        add_header Alt-Svc 'h3=":443"; ma=300' always;
        root /var/www/academy-quic;
        location / { try_files $uri $uri/ =404; }
    }
}

بارگذاری فقط پس از موفقیت بررسی تنظیمات انجام می‌شود. دستورهای TCP و UDP در پنل جدا هستند، چون فهرست سوکت‌های TCP، سوکت QUIC را نشان نمی‌دهد. خطاهای سرویس و Nginx را از مسیر مناسب بررسی کن.

خطای خواندن گواهی، directive ناشناخته یا اشغال بودن آدرس باید حل شود. active بودن سرویس و وجود سوکت فقط بررسی محلی است؛ مرحلهٔ بعد باید مسیر بیرونی را هم ثابت کند.

sudo /opt/nginx-quic/sbin/nginx -t && sudo systemctl reload academy-nginx-quic
systemctl is-active academy-nginx-quic
sudo ss -lntp 'sport = :443'
sudo ss -lnup 'sport = :443'
sudo tail -n 20 /opt/nginx-quic/logs/error.log

nginx: configuration file /opt/nginx-quic/conf/nginx.conf test is successful
active

روی دستگاهی دیگر، فهرست قابلیت‌های curl را با دستور اول ببین؛ باید HTTP3 داشته باشد. اگر ندارد، طبق راهنمای رسمی از کلاینت دارای این قابلیت یا ستون پروتکل مرورگر سازگار استفاده کن.

ابتدا HTTPS معتبر روی TCP و سپس درخواست اجباری HTTP/3 را بررسی کن. درخواست دوم اجازهٔ برگشت پنهان به HTTP/2 یا HTTP/1.1 نمی‌دهد. بررسی اعتبار گواهی را غیرفعال نکن. خروجی زیر نمونه است و ادعای اجرای همهٔ نسخه‌ها نیست.

پاسخ CDN ممکن است فقط وضعیت لبهٔ شبکه را نشان بدهد. پنل‌های بعد، بررسی لاگ سرور اصلی و آزمون اختیاری اتصال مستقیم به origin را جدا می‌کنند.

curl -V
curl --http1.1 -I https://h3.example.com/
curl --http3-only --fail --show-error --max-time 15 -w '\nHTTP version: %{http_version}\n' https://h3.example.com/

WIUNIX Academy: QUIC lab
HTTP version: 3