在 AWS 上使用 Kubernetes 部署 HTTP/2 Web 服务器

本篇文章主要是结合我之前面试的各种经历和实战开发中遇到的问题解决经验整理的，希望这篇《在 AWS 上使用 Kubernetes 部署 HTTP/2 Web 服务器》对你有很大帮助！欢迎收藏，分享给更多的需要的朋友学习~

我有一个 Go 服务器，目前正在 AWS 上与 Kubernetes 一起运行。该网站位于 Route-53 和管理 SSL 终止的 ELB 之下。 现在，我想在我的 Web 服务器中支持 HTTP/2，以便将资源推送到客户端，并且我发现 HTTP/2 要求 Web 服务器使用 HTTPS。据此我有几个问题。

• HTTP/2 需要 HTTPS - 在我的例子中，HTTPS 逻辑位于 ELB 中，它为我管理 SSL 终止。我的应用程序以简单的 HTTP 请求的形式获取解密数据。我是否需要删除 ELB 才能在我的 Web 服务器中启用 HTTP/2？ 有什么方法可以将 ELB 留在那里并在我的 Web 服务器中启用 HTTP/2 吗？

• 在我的本地开发中，我使用 openssl 生成证书。如果我部署 Web 服务器，我需要从 AWS 获取 CA 证书并将其存储在 Kubernetes 证书管理器中的某个位置，并在初始化时注入到我的 Web 服务器。推荐的方法是什么？

我觉得我错过了一些东西，所以我将不胜感激任何帮助。谢谢

解决方案

如果您的后端也不是 HTTP2，那么在 AWS 负载均衡器上部署 HTTP2 没有任何好处。从技术上讲，HTTP2 不需要 HTTPS，但没有人为 HTTP 实现 HTTP2。 HTTP2 是一种协议优化（简单的观点），它消除了 SSL 协商中的往返，改进了管道传输等。如果负载均衡器通过 HTTP 与后端通信，则不会有任何改进。由于 HTTPS 设置期间往返次数减少，负载均衡器的负载将小幅下降。

我建议您将后端服务配置为仅使用 HTTPS（将客户端重定向到 HTTPS）并使用 SSL 证书。然后配置HTTP2，顺便说一下，这并不容易。您可以使用 Let's Encrypt for SSL，效果非常好。您还可以使用 OpenSSL 自签名证书（我不推荐）。您不能使用 AWS 服务为后端服务创建 SSL 证书，只能为 AWS 托管服务（CloudFront、ALB 等）创建 SSL 证书。

您还可以使用第 4 层 (TCP) 侦听器设置负载平衡器。这就是我在后端服务器上设置 HTTP2 时所做的事情。现在从客户端到后端的整个路径都使用 HTTP2，没有双重 SSL 加密/解密层。

负载均衡器的一项出色功能称为“SSL 卸载”。这意味着您在负载均衡器上启用 SSL，并仅在后端 Web 服务器上启用 HTTP。这违背了 HTTP2。因此，请仔细考虑您真正想要实现的目标，然后设计您的服务来实现这些目标。

还有一点需要考虑。由于您正在研究 HTTP2，因此请同时删除您的服务中对旧 TLS 版本以及不安全的加密和哈希算法的支持。今天放弃 TLS 1.0 应该是强制性的，我建议也放弃 TLS 1.1。除非您确实需要支持古老的浏览器或定制的低端硬件，否则 TLS 1.2 应该成为当今的标准。您的日志文件可以告诉您客户端是否通过旧协议进行连接。

新的 ELB 支持 HTTP/2 (https://aws.amazon.com/blogs/aws/new-aws-application-load-balancer/)，但不支持 Push 属性 (https://docs.aws.amazon.com/elasticloadbalancing/latest/application/load-balancer-listeners.html#listener-configuration)：“您无法使用服务器推送功能HTTP/2”

如果您想使用 Push，您可以使用 ELB 作为四级 TCP LoadBalancer，并在您的网络服务器上启用它。对于 HaProxy，仍然可以通过此设置来抵消 SSL/TLS (HTTP/2 behind reverse proxy)，但不确定在 ELB 下是否可以实现类似的功能（可能不行）。这是因为，虽然 HTTP/2 需要来自所有主要浏览器的 HTTPS，但这并不是协议本身的要求，因此负载均衡器 -> 服务器可以在没有 HTTPS 的情况下通过 HTTP/2（称为 h2c）。

但是我想说的是，HTTP/2 Push 的正确实现非常复杂 - 请阅读 Google 的 Jake Archibald 发表的这篇精彩文章：https://jakearchibald.com/2017/h2-push-tougher-than-i-thought/。人们发现，它通常在少数情况下受益，但在大多数情况下不会带来任何变化。甚至导致其他人的表现下降。最终，它对 HTTP/2 功能有点失望，尽管我个人认为它还没有得到足够的探索，因此可能会带来一些积极的结果。

如果你不需要 Push，那么前端升级到 HTTP/2 是否还有意义呢？我认为是的，详细信息请参见我的答案：HTTP2 with node.js behind nginx proxy。这也表明，从 LB 到网络服务器的后端并不真正需要 HTTP/2，这意味着您可以将其保留为 HTTPS 卸载面包平衡器。

应该注意的是，在某些用例中 HTTP/2 速度较慢：

1. 严重丢包（即互联网连接非常糟糕）。这里，HTTP/2 使用的单个 TCP 连接及其 TCP 线头阻塞意味着该连接遭受超过 6 个单独的 HTTP/1 连接。 QUIC 是一个比 HTTP/2 更新的协议（太新了，甚至还没有推出，所以除了 Google 服务器之外，还没有真正可用）解决了这个问题。
2. 由于 AWS 的特定实施，对于大数据包。有趣的帖子：https://medium.com/@ptforsberg/on-the-aws-application-load-balancer-http-2-support-fad4bc67b21a。这只是真正的大下载的问题，很可能是 API 的问题，对于大多数网站来说不应该是问题（如果是这样，那么你应该优化你的网站，因为 HTTP/2 不会无论如何都能提供很多帮助！）。通过升级 HTTP/2 窗口大小设置可以轻松修复，但看起来 ELB 不允许您设置此设置。

终于介绍完啦！小伙伴们，这篇关于《在 AWS 上使用 Kubernetes 部署 HTTP/2 Web 服务器》的介绍应该让你收获多多了吧！欢迎大家收藏或分享给更多需要学习的朋友吧~golang学习网公众号也会发布Golang相关知识，快来关注吧！