アンエラー_接続拒否Google Chrome v.120でNginx 1.25.3 + BoringSSL経由でHTTP/3を利用しようとするとエラーが発生します。nginx-debugがオンになっている間はエラーもデバッグメッセージもログに見つかりません。http2はこの設定でうまく動作し、https://cloudflare.com/ よりHTTP/3 はブラウザで使用できると書かれています。
nginx.conf は、:
user www-data;
worker_processes 1;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
}
http {
include mime.types;
default_type application/octet-stream;
sendfile on;
tcp_nopush on;
tcp_nodelay on;
types_hash_max_size 2048;
#keepalive_timeout 0;
keepalive_timeout 65;
#gzip on;
##
# Access/Error Log Settings
##
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /var/log/nginx/access.log main;
error_log /var/log/nginx/error.log;
##
# SSL Configuration
##
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # Dropping SSLv3, ref: POODLE
ssl_prefer_server_ciphers on;
##
# FastCGI Cache Settings
##
fastcgi_cache_path /etc/nginx-cache levels=1:2 keys_zone=phpcache:100m inactive=60m;
fastcgi_cache_key "$scheme$request_method$host$request_uri";
fastcgi_ignore_headers Cache-Control Expires;
include /etc/nginx/conf.d/*.conf;
include /etc/nginx/sites-enabled/*;
}
/etc/nginx/sites-enabled/website.conf:
server {
server_name website.site;
root /var/www/website/public_html/develop;
index index.html;
listen 443 quic reuseport;
listen 443 ssl;
http2 on;
http3 on;
quic_retry on;
ssl_early_data on;
add_header alt-svc 'h3=":443"; quic=":443"; ma=2592000;';
ssl_protocols TLSv1.3;
ssl_certificate /etc/ssl/website.site.pem;
ssl_certificate_key /etc/ssl/website.site-key.pem;
}
追記:私が気づいたもう一つの興味深い動作は、接続が別の利用可能な nginx vhost にリダイレクトされることです (quiche サービスが使用されている場合、listen は無視されるようです)
私の解決策:問題は、証明書が公的に信頼されていない場合、Google ChromeがHTTP/3プロトコルに切り替えないことであることが判明しました（解決策はここただし、ここで説明する考えられる原因は、他のエラーのトラブルシューティングに役立ちます。
答え1
ウェブブラウザは最初に http/1 または http/2 接続を確立します。そのため、2 つの listen ディレクティブを保持する必要があります。次のコメントを解除する必要があります。
# listen 443 ssl http2;
次のように置き換えます:
listen 443 ssl;
http2 on;
listenディレクティブではhttp2が受け入れられなくなったため。これはデフォルトで無効になっている新しいディレクティブです。https://nginx.org/en/docs/http/ngx_http_v2_module.html#http2
Syntax: http2 on | off;
Default:
http2 off;
Context: http, server
This directive appeared in version 1.25.1.
そしてhttps://nginx.org/en/docs/http/ngx_http_core_module.html#listen
"The parameter is deprecated, the http2 directive should be used instead."
この実例も参照してください。https://nginx.org/en/docs/quic.html#例
http {
log_format quic '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" "$http3"';
access_log logs/access.log quic;
server {
# for better compatibility it's recommended
# to use the same port for quic and https
listen 8443 quic reuseport;
listen 8443 ssl;
ssl_certificate certs/example.com.crt;
ssl_certificate_key certs/example.com.key;
location / {
# required for browsers to direct them to quic port
add_header Alt-Svc 'h3=":8443"; ma=86400';
}
}
}
答え2
設定例を見つけましたが、vhostにさらにいくつかのものが必要です
server{
listen 443 http3 quic reuseport;
listen 443 ssl http2;
quic_retry on;
ssl_early_data on;
http3_max_field_size 5000;
http3_max_table_capacity 50;
http3_max_blocked_streams 30;
http3_max_concurrent_pushes 30;
http3_push 10;
http3_push_preload on;
add_header alt-svc '$quic=":443"; ma=3600';
index index.html index.nginx-debian.html;
server_name yourdomain.com www.yourdomain.com
root /var/www/yourdomain.com;
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;
include /etc/letsencrypt/options-ssl-nginx.conf;
ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
}
server{
if ($host = http3.codefaq.org) {
return 301 https://$host$request_uri;
} # managed by Certbot
listen 80;
server_name yourdomain.com;
return 404; # managed by Certbot
}