В тази статия искам да споделя с вас начин за създаване на SSL сертификат за вашето уеб приложение, работещо на Docker, тъй като в рускоговорящата част на интернет не намерих подобно решение.
Вижте повече под кат.
Имахме docker v.17.05, docker-compose v.1.21, Ubuntu Server 18 и малко чист Let’sEncrypt. Не че е задължително да разгръщате продукция на Docker, но ако веднъж започнете да събирате Docker, става трудно да спрат.
И така, за начало ще дам стандартните настройки - които имахме на етап dev, т.е. без 443 порт и SSL по принцип:
docker-compose.yml
version: '2'
services:
php:
build: .\/php-fpm
volumes:
- .\/StomUp:\/var\/www\/StomUp
- .\/php-fpm\/php.ini:\/usr\/local\/etc\/php\/php.ini
depends_on:
- mysql
container_name: "StomPHP"
web:
image: nginx:latest
ports:
- "80:80"
- "443:443"
volumes:
- .\/StomUp:\/var\/www\/StomUp
- .\/nginx\/main.conf:\/etc\/nginx\/conf.d\/default.conf
depends_on:
- php
mysql:
image: mysql:5.7
command: mysqld --sql_mode=""
environment:
MYSQL_ROOT_PASSWORD: xxx
ports:
- "3333:3306"
nginx\/main.conf
server {
listen 80;
server_name *.stomup.ru stomup.ru;
root \/var\/www\/StomUp\/public;
client_max_body_size 5M;
location \/ {
# опитайте да обслужвате файла директно, в противен случай индекс.php
try_files $uri \/index.php$is_args$args;
}
location ~ ^\/index.php(\/|$) {
#fastcgi_pass unix:\/var\/run\/php7.2-fpm.sock;
fastcgi_pass php:9000;
fastcgi_split_path_info ^(.+.php)(\/.*)$;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
fastcgi_param DOCUMENT_ROOT $realpath_root;
fastcgi_buffer_size 128k;
fastcgi_buffers 4 256k;
fastcgi_busy_buffers_size 256k;
internal;
}
location ~ .php$ {
return 404;
}
error_log \/var\/log\/nginx\/project_error.log;
access_log \/var\/log\/nginx\/project_access.log;
}
След това на нас ни трябва да реализираме SSL. Честно казано, прегледах зоната com около 2 часа. Всички предложени опции там са интересни. Но на текущия етап на проекта, на нас (бизнеса) ни беше необходимо бързо и надеждно да добавим SSL Let’sEncrypt к nginx към контейнера и не повече.
На първо място, инсталирахме на сървъра certbot
sudo apt-get install certbot
След това генерирахме сертификати wildcard за нашия домейн
sudo certbot certonly -d stomup.ru -d *.stomup.ru --manual --preferred-challenges dns
след изпълнението certbot ще предостави 2 TXT записа, които трябва да посочите в настройките на DNS.
_acme-challenge.stomup.ru TXT {ключът, който ви предостави CertBot}
И натискаме enter.
След това certbot ще провери наличието на тези записи в DNS и ще създаде сертификатите за вас.
ако сте добавили сертификата, но certbot не е намерен — пробвайте да повторите командата след 5-10 минути.
Е, ето ни и гордите притежатели на сертификат Let’sEncrypt за 90 дни, но сега трябва да го интегрираме в Docker.
За тази цел, по най-простия начин, в docker-compose.yml, в секцията nginx — свързваме директориите.
Пример docker-compose.yml с SSL
version: '2'
services:
php:
build: .\/php-fpm
volumes:
- .\/StomUp:\/var\/www\/StomUp
- \/etc\/letsencrypt\/live\/stomup.ru\/:\/etc\/letsencrypt\/live\/stomup.ru\/
- .\/php-fpm\/php.ini:\/usr\/local\/etc\/php\/php.ini
depends_on:
- mysql
container_name: "StomPHP"
web:
image: nginx:latest
ports:
- "80:80"
- "443:443"
volumes:
- .\/StomUp:\/var\/www\/StomUp
- \/etc\/letsencrypt\/:\/etc\/letsencrypt\/
- .\/nginx\/main.conf:\/etc\/nginx\/conf.d\/default.conf
depends_on:
- php
mysql:
image: mysql:5.7
command: mysqld --sql_mode=""
environment:
MYSQL_ROOT_PASSWORD: xxx
ports:
- "3333:3306"
Свързахте ли? Супер — продължаваме:
Сега трябва да променим конфигурацията nginx за работа с 443 порта и SSL по принцип:
Пример на конфигурация main.conf с SSL
#
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name *.stomup.ru stomup.ru;
set $base /var/www/StomUp;
root $base/public;
# SSL
ssl_certificate /etc/letsencrypt/live/stomup.ru/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/stomup.ru/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/stomup.ru/chain.pem;
client_max_body_size 5M;
location / {
# try to serve file directly, fallback to index.php
try_files $uri /index.php$is_args$args;
}
location ~ ^/index.php(/|$) {
#fastcgi_pass unix:/var/run/php7.2-fpm.sock;
fastcgi_pass php:9000;
fastcgi_split_path_info ^(.+.php)(/.*)$;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
fastcgi_param DOCUMENT_ROOT $realpath_root;
fastcgi_buffer_size 128k;
fastcgi_buffers 4 256k;
fastcgi_busy_buffers_size 256k;
internal;
}
location ~ .php$ {
return 404;
}
error_log /var/log/nginx/project_error.log;
access_log /var/log/nginx/project_access.log;
}
# HTTP redirect
server {
listen 80;
listen [::]:80;
server_name *.stomup.ru stomup.ru;
location / {
return 301 https://stomup.ru$request_uri;
}
}
След тези манипулации — отиваме в директорията с Docker-compose, пишем docker-compose up -d. И проверяваме работоспособността на SSL. Всичко трябва да заработи.
Не забравяйте, че сертификатът на Let’sEncrypt се издава за 90 дни и ще трябва да го обновите с командата sudo certbot renew, а след това да рестартирате проекта с командата docker-compose restart
Като вариант — добавете тази последователност в crontab.
Според мен, това е най-простият начин за свързване на SSL с Docker Web-app.
P.S. Моля, имайте предвид, че всички скриптове, представени в текста — не са окончателни, проектът в момента е в дълбока разработка, затова ви моля да не критикувате конфигурациите - те ще бъдат променяни много пъти.
Източник: habr.com
