マスタカの ChangeLog メモ

■ このサイトを http2 対応した [nginx]

今まで http だったこのサイトを http2 対応しました。

静的ファイルもそうですが、このサイトで動いている kibana が体感で速
くなった気がします（計測すればよかった）。

SSL 証明書は最近流行りの Let's Encrypt ではなくて、温かみのある
StartSSL で取得しました。パスワードではなく、証明書でのログインが
いいですね。

どちらも無料で取得できます。前者はコマンドラインから取得できるが構
成管理難しめ、後者はサイト上から手作業で取得が必要だが構成管理は容
易、というおおざっぱな違いがあります。

今回学んだことは「出来るだけ https 対応してから http2 対応すべし」
でした。雑に http2 にしたら 403 Forbidden や、Chrome で
ERR_SPDY_INADEQUATE_TRANSPORT_SECURITY が発生しハマりました。

あとは「早く寝ろ」でしょうか。日曜日の後半は完全に頭が働いていませ
んでした...。

nginx の設定では主に以下を学びました。

- ssl_session_cache
    - 高速化のため、セッションキャッシュを設定する
- ssl_ciphers
    - より安全にするため、暗号化スイートを明示的に設定する
- ssl_dhparam
    - より安全にするため、DH パラメータファイルを指定する
- add_header Strict-Transport-Security
    - より安全にするため、HSTS を用いて常に HTTPS 通信を行う
    - HTTP Strict Transport Security

以下、作業メモです。

2016-03-13（日）

1. 金曜日の社内勉強会で http2 の話を聞いたこともあり、16:00 頃突然
masutaka.net http2 化の意欲が湧いてきた。この時点ではすぐ出来るだ
ろと思っていた。

2. Chef での構成管理がしやすそうな StartSSL で Class 1 の証明書を
取得した。必要な CSR（Certificate Signing Request）はほぼ指示通り
の以下のコマンドで作成した。

$ openssl req -new -nodes -newkey rsa:2048 -keyout yourname.key -out yourname.csr

3. ドメイン認証のために whois に登録したメールアドレスを受取可能に
する必要があると気づき、masutaka.net に Postfix をインストールした。

4. 25 番ポートを開けないとメールが受け取れないことに気づき、開けた。

5. StartSSL から何度 Verification メールを送っても受信できず、
tail -f /var/log/mail.log をずっと眺めてた。

6. ふと、StartSSL にアクセスし直し再送したら、あっさり受信...。

7. この辺で迷走。SMTP relay をやりたくなり試行錯誤。結局諦めた。

8. 443 番ポートを開け、一気に http2 にするも 403 や Chrome だけで
ERR_SPDY_INADEQUATE_TRANSPORT_SECURITY が発生したりの大混乱。
Mozilla SSL Configuration Generator を参考にはしていた。

9. なんとか SSL 化は成功。Chrome からは『接続は古い暗号スイートに
より暗号化されています』と言われていたが、AM2:00 になってしまった
ので就寝。

2016-03-14（月）

1. 会社の同僚から http2 で Chrome に怒られるのは ssl_ciphers（長い
やつ）を設定してないからかもとのアドバイス。Qualys SSL Labs の SSL
Server Test も教えてもらった。この時点でのスコアは B 。

2. 会社に置いていた『nginx実践入門』もゲットして帰宅

3. Mozilla SSL Configuration Generator の設定を『nginx実践入門』と
照らしあわせて、１つずつ設定。ssl_ciphers を設定したら B から A に
なり、ssl_dhparam を設定したら A が A+ になった。

ssl_dhparam ファイルは以下のコマンドで作成した。作成には数分かかった。

$ openssl dhparam 2048 -out dhparam.pem

https://www.ssllabs.com/ssltest/analyze.html?d=masutaka.net

4. https から http2 へは nginx の設定を以下に変更してあっさり終了。

listen 443 ssl;
↓
listen 443 ssl http2;

※ nginx は Ubuntu の PPA で 1.9 系を使っていたため、
http_v2_module が含まれていた。

5. Chrome 先生からご指摘を受けているので、このブログで http のリソー
スを使っている箇所を出来るだけ https に変更。『このブログのはてな
ブックマーク数』と『Amazon の商品リンク』は出来ず。後日考えることに。