NGINX通过OpenSSL支持QUIC和HTTP/3

NGINX | 2023年9月13日

开发人员通常希望使用已发布、官方且受支持的库来构建应用和基础设施。即使采用HTTP/3，也迫切需要一个易于使用、支持QUIC，同时不会增加生产基础设施维护成本或运维复杂性的库。

对于许多QUIC+HTTP/3用户而言，默认的加密库是OpenSSL。大多数基于Linux的操作系统都默认安装OpenSSL。它是广泛使用的传输层安全（TLS）库，被大多数网络应用采用。

问题：OpenSSL与QUIC+HTTP/3不兼容

尽管OpenSSL应用如此广泛，但它并未提供支持QUIC所需的TLS API。OpenSSL管理委员会转而决定自行实现完整的QUIC协议栈。这项工作量相当大，计划在OpenSSL v3.4中完成，但根据OpenSSL路线图，这项工作很可能要到2024年底之后才能完成。此外，OpenSSL实现的初始最小可行产品不会包含QUIC API，因此用户尚无明确途径通过OpenSSL获得HTTP/3支持。

QUIC TLS支持方案

在这种情况下，需要QUIC TLS支持来满足HTTP/3需求的用户有两种选择：

OpenSSL QUIC实现：如上所述，OpenSSL目前正在自行实现完整的QUIC协议栈。该实现将封装所有QUIC功能，让HTTP/3用户可以更轻松地使用OpenSSL TLS API，而无需考虑QUIC特有的功能。
支持BoringSSL QUIC API的库：目前，BoringSSL、quicTLS和LibreSSL等多种SSL库（均源自OpenSSL的分支）通过实现BoringSSL QUIC API提供QUIC TLS功能。不过，这些库的采用范围不如OpenSSL广泛。此方案还需要从源代码构建SSL库，并将其安装到每台需要支持QUIC+HTTP/3的服务器上，因此可能并不适合所有用户。尽管如此，由于OpenSSL QUIC TLS实现尚未就绪，这仍是目前希望使用HTTP/3的用户唯一可选的方案。

新解决方案：OpenSSL兼容层

这些挑战启发了NGINX创建OpenSSL Compatibility Layer，旨在简化使用OpenSSL的QUIC+HTTP/3部署，并帮助避免在生产环境中维护独立SSL库所带来的复杂性。

OpenSSL兼容层自NGINX Open Source主线版本1.25.0和NGINX Plus R30起提供，使NGINX无需修补或重新构建OpenSSL，即可在其上运行QUIC+HTTP/3。这样便无需通过编译和部署第三方TLS库来获得QUIC支持。由于不需要使用第三方库，也减少了对这些库的发布计划和路线图的依赖，因此在生产环境中部署相对更容易。

OpenSSL兼容层的工作原理

OpenSSL兼容层执行以下步骤：

将QUIC握手转换为OpenSSL支持的TLS 1.3握手。
将TLS握手消息传入和传出OpenSSL。
从OpenSSL获取握手和应用加密级别的加密密钥。
在OpenSSL中传入和传出QUIC传输参数。

鉴于OpenSSL目前的广泛应用，以及其对QUIC+HTTP/3的官方支持现状，我们认为，提供一种简单且可扩展的QUIC启用方式是正确方向上的一步。这也将推动HTTP/3的采用，并有助于收集有价值的反馈。更重要的是，我们相信OpenSSL兼容层将帮助我们为企业用户和整个NGINX社区提供更稳健、更具可扩展性的解决方案。

注意：OpenSSL Compatibility Layer为NGINX用户提供了简单且可扩展的选择，但用户仍可选择将BoringSSL、quicTLS或LibreSSL等第三方库与NGINX搭配使用。要确定哪种方案更适合您，请考虑哪种方法最符合您的要求，以及您对自行编译和管理依赖库的熟悉程度。