/etc/portage/package.use 加上 alpn

www-servers/apache threads alpn

/etc/conf.d/apache 內的 APACHE2_OPTS 加上 -DSSL -DHTTP2, 像是

APACHE2_OPTS="-D DEFAULT_VHOST -D INFO -D SSL -D SSL_DEFAULT_VHOST -D LANGUAGE -D PHP -DHTTP2"

然後再執行

$ emerge -av apache
$ etc-update
$ !/etc/init.d/apache restart

etc-update 一定要做, 我就忘了做這步卡很久, 花了一點時間才 debug 出來.

這篇 Debug 非常好用, 不過用來用去 curl debug 最好用, 但是其他的 tool 也很有趣, 像 h2c 那個可以看 session 狀態.
Tools for debugging, testing and using HTTP/2

我就是用這麼原始的方式才知道錯在什麼環節

$ curl -vso /dev/null --http2 https://www.cloudflare.com/ 2 >> 1.txt
$ curl -vso /dev/null --http2 https://www.yourwebsite.com/ 2 >> 2.txt
$ vimdiff 1.txt 2.txt

我是看到這一篇才想到沒有 Load mod_http2 module
how to h2 in apache

最後再到這個網站確認有沒有成功
HTTP/2 Test Verify HTTP/2.0 Support

雖然沒有加快多少, 至少本小站也是支援 HTTP/2 了.

The post [Gentoo] 替 Apache 加上 http2 支援 appeared first on richliu's blog.

不過我們用的是 Gentoo, 和其他主流的 Linux Distribution 不太一樣, 所以會有些麻煩.
1. 首先加入 zugaina 的 Portage

$layman -a zugaina

2. 修改設定檔

在 /etc/portage/package.keywords 加上
app-crypt/acme **
www-apache/mod_h2 ~*

在/etc/portage/package.unmask 加上
www-apache/mod_h2

然後 安裝 letsencrypt
$ emerge letsencrypt

3. 產生證書

 $ letsencrypt certonly --manual --agree-tos -m name@domain.org -d domain.org

會在 /etc/letsencrypt/live/domain.org 下產生所需要的 KEY

4. 修改 apache 的設定, 替網站加上 https

有碰到連線問題, 所以我就加上一些參數讓瀏覽器可以支援, 這邊是我用的設定

<VirtualHost *:443>
ServerName domain.org
DocumentRoot “/var/www/domain.org”
<Directory “/var/www/domain.org”>
AllowOverride All
Require all granted
</Directory>
SSLEngine on
SSLCertificateFile  /etc/letsencrypt/live/domain.org/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/domain.org/privkey.pem
SSLCertificateChainFile /etc/letsencrypt/live/domain.org/fullchain.pem

SSLCipherSuite ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK
SSLProtocol All -SSLv2 -SSLv3

</VirtualHost>

4. 剛好清理一下 HTTP 網站的 Link, 移除死掉的 Link , http 改成 https

5. 如果是 wordpress,
網站 URL 要改成 https , 順便可以加上 Easy HTTPS Redirection 這個套件, 會產生新的 .htaccess 檔案, 重定位所有的連結變 https. 這樣就不會出現黃色方塊了.

6. 建議 60 天要更新一下證書.

我是放在 /etc/cron.monthly/ 下

#!/bin/sh
/etc/init.d/apache stop

letsencrypt certonly -a standalone --renew-by-default --agree-tos -d domain.org --email user@domain.org

/etc/init.d/apache start

新版的改用 certbot

#!/bin/sh
/etc/init.d/apache stop

certbot certonly -a standalone --renew-by-default --agree-tos -d domain.org --email user@domain.org

/etc/init.d/apache start

ref.
mod_http2 Chrome ERR_SPDY_INADEQUATE_TRANSPORT_SECURITY

HowTo: Generate free SSL certificates for Nginx/Tengine with LetsEncrypt

Let’s Encrypt 免費讓你的網站升級成 SSL ready

The post [Gentoo] Letsencrypt appeared first on richliu's blog.

記得在 /etc/make.conf 內的 APACHE2_MODULES= 加上
[TEXT]
unixd access_compat authn_alias authn_core authz_core socache_shmcb
[/TEXT]
P.S 我一次全加了, 免得麻煩.
apache 網站的說明是說 Require 是用到 access_compat , 實際上還是要將 authz_core 和 authn_core 加入

如果網站有 access denied 的狀況, 要將設定稍改一下
[TEXT]
# Order allow,deny
# Allow from all
Require all granted
[/TEXT]
舊的 Order 和 Allow 改用 Require command .
大概是這樣.

The post Gentoo Apache 2.4.3 升級後的怪問題. appeared first on richliu's blog.

以便升級以外..

另外, 在 /etc/apache2/httpd.conf
加上
[TEXT]
LoadModule authn_core_module modules/mod_authn_core.so
LoadModule authz_core_module modules/mod_authz_core.so
LoadModule unixd_module modules/mod_unixd.so
LoadModule access_compat_module modules/mod_access_compat.so
LoadModule socache_shmcb_module modules/mod_socache_shmcb.so
[/TEXT]

從檔案 /etc/apache2/vhosts.d/00_default_vhost.conf 內移除
[TEXT]
# Use name-based virtual hosting.
NameVirtualHost *:80
[/TEXT]

從檔案 /etc/apache2/modules.d/00_mod_mime.conf 內移除
[TEXT]
# DefaultType: the default MIME type the server will use for a document
# if it cannot otherwise determine one, such as from filename extensions.
# If your server contains mostly text or HTML documents, “text/plain” is
# a good value. If most of your content is binary, such as applications
# or images, you may want to use “application/octet-stream” instead to
# keep browsers from trying to display binary files as though they are
# text.
DefaultType text/plain
[/TEXT]

修改檔案, /etc/apache2/modules.d/40_mod_ssl.conf
[TEXT]
#SSLMutex file:/var/run/ssl_mutex
Mutex sysvsem default
[/TEXT]

Ref Bug 410607

The post [Gentoo] Apache 2.2 升級到 Apache 2.4 的問題. appeared first on richliu's blog.