📚 课程目录第4章 HTTP/HTTPS在启动中的应用

4. HTTP/HTTPS在启动中的应用

4.1 为什么启动场景需要HTTP？

说到网络启动，很多人第一反应就是TFTP。确实，TFTP在PXE时代几乎是标配。但我想问一句：你见过哪个现代操作系统用TFTP装系统？没有吧。

我最早接触网络启动是在2010年左右，那时候给几十台服务器装系统，TFTP传个内核镜像要等半天。后来我尝试用HTTP替代TFTP，效果立竿见影。说白了，TFTP的设计初衷是「简单可靠」，而HTTP的设计初衷是「高效传输」。这两个目标在启动场景下，差距就出来了。

我个人习惯是：小文件（比如引导加载器）用TFTP，大文件（比如内核、根文件系统）用HTTP。这样既保证了兼容性，又提升了速度。

4.2 HTTP与TFTP的对比：一张表说清楚

对比维度	TFTP	HTTP
传输协议	UDP（69端口）	TCP（80/443端口）
传输效率	低（停等协议，一次一包）	高（流水线、多连接、Keep-Alive）
文件大小限制	32MB（实际更小）	无限制
安全性	无认证、无加密	支持HTTPS加密
可靠性	无校验、无重传机制	TCP保证可靠传输
配置复杂度	极简（一个文件搞定）	中等（需要Web服务器）
典型场景	BIOS/UEFI固件、小文件传输	大镜像、操作系统安装、容器镜像

你看这个表，TFTP唯一的优势就是「简单」。但简单是有代价的——我曾经在生产环境遇到过TFTP传输大文件时丢包，导致客户端反复重试，整个启动过程卡了十几分钟。换成HTTP后，同样大小的文件，30秒搞定。

核心结论：TFTP适合传小文件（<10MB），HTTP适合传大文件（>10MB）。如果你的镜像超过50MB，别犹豫，直接上HTTP。

4.3 使用HTTP加速镜像加载：实战配置

嗯，这里要注意：HTTP加速不是简单地把TFTP换成HTTP就完事了。你需要考虑几个关键点。

4.3.1 服务端配置（以Nginx为例）

# 安装Nginx
apt-get install nginx -y

# 配置HTTP启动目录
cat > /etc/nginx/sites-available/netboot << 'EOF'
server {
    listen 80;
    server_name _;
    root /var/www/netboot;
    autoindex on;
    autoindex_exact_size off;
    autoindex_localtime on;

    # 对大文件启用gzip压缩（注意：某些引导加载器不支持）
    location ~ \.(iso|img|vmlinuz|initrd)$ {
        gzip off;
        tcp_nopush on;
        tcp_nodelay on;
        sendfile on;
        output_buffers 32 32k;
        postpone_output 1460;
    }
}
EOF

# 创建软链接
ln -s /etc/nginx/sites-available/netboot /etc/nginx/sites-enabled/

# 重启Nginx
systemctl restart nginx

我个人习惯把镜像文件放在 /var/www/netboot 下，然后通过 autoindex 让客户端可以直接浏览目录。这样调试时很方便。

4.3.2 客户端配置（以iPXE为例）

#!ipxe

# 设置HTTP启动
set http_server http://192.168.1.100

# 加载内核（HTTP比TFTP快3-5倍）
kernel ${http_server}/vmlinuz-5.10.0 initrd=initrd.img root=/dev/nfs nfsroot=192.168.1.100:/nfsroot ip=dhcp

# 加载initrd
initrd ${http_server}/initrd.img

# 启动
boot

你想想看，同样的网络环境，TFTP传一个200MB的initrd可能需要2分钟，HTTP只需要20秒。为什么？因为TFTP是停等协议——发一个包，等一个ACK，再发下一个。而HTTP可以连续发送多个包，充分利用带宽。

避坑指南：我曾经遇到过HTTP加载内核时卡在99%不动的情况。后来发现是Nginx的 sendfile 没开，导致大文件传输时CPU占用过高。记得加上 sendfile on 和 tcp_nopush on。

4.4 HTTPS的安全考量：要不要上？

说实话，在启动阶段用HTTPS，很多人觉得没必要。但我想说：看场景。

4.4.1 什么时候必须用HTTPS？

公网环境：如果你的启动服务器暴露在公网，HTTP明文传输等于裸奔。攻击者可以轻松篡改内核镜像，植入后门。
多租户环境：不同客户共享同一个启动服务器，需要隔离和认证。
合规要求：金融、医疗等行业，明文传输可能违反合规规定。

4.4.2 HTTPS带来的代价

嗯，这里要泼点冷水。HTTPS不是银弹，它有几个问题：

证书管理：启动阶段没有完整的操作系统，证书验证是个难题。我见过有人直接把证书验证关掉——那HTTPS还有什么意义？
性能开销：TLS握手需要额外的RTT，对于启动这种时间敏感的场景，可能增加1-2秒的延迟。
兼容性：不是所有引导加载器都支持HTTPS。比如老版本的PXE固件，根本不认识HTTPS。

4.4.3 我的建议

重要提醒：如果你在内网做网络启动，且网络环境可控，HTTP完全够用。别为了「安全」而安全，给自己增加不必要的复杂度。但如果你在公网或跨网络环境，请务必上HTTPS。

我曾经帮一个客户排查问题，他们用了HTTPS但启动总是失败。最后发现是iPXE的TLS库版本太老，不支持现代的TLS 1.3。解决方案很简单：要么升级iPXE，要么降级到TLS 1.2。

4.5 本章知识体系

下面这张图是我自己画的，把HTTP/HTTPS在启动中的应用逻辑梳理了一遍。你看完应该能明白整个链路。

这张图把整个流程串起来了：客户端发起请求，经过协议选择，到达Web服务器，最终获取镜像文件。安全层是可选组件，根据你的场景决定是否启用。

4.6 小结

HTTP/HTTPS在启动中的应用，说白了就是「用更快的协议传更大的文件」。TFTP不是不能用，但要清楚它的边界。我个人建议：

引导加载器（<1MB）→ TFTP
内核+initrd（10-500MB）→ HTTP
完整ISO（>1GB）→ HTTP + 分块传输

至于HTTPS，别盲目上。先问自己三个问题：我的网络环境安全吗？客户端支持吗？证书怎么管理？想清楚了再动手。