ডকার ওয়েব-অ্যাপের জন্য SSL শংসাপত্র

এই নিবন্ধে, আমি আপনার সাথে ডকারে চলমান আপনার ওয়েব অ্যাপ্লিকেশনের জন্য একটি SSL শংসাপত্র তৈরি করার একটি পদ্ধতি ভাগ করতে চাই, কারণ... আমি ইন্টারনেটের রাশিয়ান ভাষার অংশে এমন একটি সমাধান খুঁজে পাইনি।

কাটা অধীনে আরো বিস্তারিত.

আমাদের কাছে ডকার v.17.05, ডকার-কম্পোজ v.1.21, উবুন্টু সার্ভার 18 এবং বিশুদ্ধ Let'sEncrypt এর একটি পিন্ট ছিল। এটি এমন নয় যে ডকারে উত্পাদন স্থাপন করা প্রয়োজন। কিন্তু একবার আপনি ডকার তৈরি করা শুরু করলে, এটি বন্ধ করা কঠিন হয়ে পড়ে।

সুতরাং, শুরু করার জন্য, আমি স্ট্যান্ডার্ড সেটিংস দেব - যা আমাদের ডেভ পর্যায়ে ছিল, অর্থাৎ পোর্ট 443 এবং সাধারণভাবে SSL ছাড়া:

Docker-compose.yml

version: '2'
services:
    php:
        build: ./php-fpm
        volumes:
            - ./StomUp:/var/www/StomUp
            - ./php-fpm/php.ini:/usr/local/etc/php/php.ini
        depends_on:
            - mysql
        container_name: "StomPHP"
    web:
        image: nginx:latest
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - ./StomUp:/var/www/StomUp
            - ./nginx/main.conf:/etc/nginx/conf.d/default.conf
        depends_on:
            - php
    mysql:
        image: mysql:5.7
        command: mysqld --sql_mode=""
        environment:
            MYSQL_ROOT_PASSWORD: xxx
        ports:
            - "3333:3306"

nginx/main.conf

 server {
    listen 80;
    server_name *.stomup.ru stomup.ru;
   root /var/www/StomUp/public;
     client_max_body_size 5M;

    location / {
        # try to serve file directly, fallback to index.php
        try_files $uri /index.php$is_args$args;
  }

    location ~ ^/index.php(/|$) {
      #fastcgi_pass unix:/var/run/php7.2-fpm.sock;
       fastcgi_pass php:9000;
       fastcgi_split_path_info ^(.+.php)(/.*)$;
      include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
       fastcgi_param DOCUMENT_ROOT $realpath_root;
        fastcgi_buffer_size 128k;
       fastcgi_buffers 4 256k;
        fastcgi_busy_buffers_size 256k;
       internal;
    }

    location ~ .php$ {
        return 404;
    }

     error_log /var/log/nginx/project_error.log;
    access_log /var/log/nginx/project_access.log;
}

পরবর্তী, আমাদের আসলে SSL বাস্তবায়ন করতে হবে। সত্যি বলতে, আমি কম জোন অধ্যয়ন করতে প্রায় 2 ঘন্টা ব্যয় করেছি। সেখানে দেওয়া সমস্ত বিকল্প আকর্ষণীয়। কিন্তু প্রকল্পের বর্তমান পর্যায়ে, আমাদের (ব্যবসায়ের) দ্রুত এবং নির্ভরযোগ্যভাবে স্ক্রু করা দরকার SSL আসুন এনটাইপ্ট করি к nginx ধারক এবং আর কিছুই না।

প্রথমত, আমরা এটি সার্ভারে ইনস্টল করেছি certbot
sudo apt-get install certbot

এরপরে, আমরা আমাদের ডোমেনের জন্য ওয়াইল্ডকার্ড শংসাপত্র তৈরি করেছি

sudo certbot certonly -d stomup.ru -d *.stomup.ru --manual --preferred-challenges dns

কার্যকর করার পরে, সার্টবট আমাদের 2 টি টিএক্সটি রেকর্ড সরবরাহ করবে যা DNS সেটিংসে নির্দিষ্ট করা প্রয়োজন।

_acme-challenge.stomup.ru TXT {тотКлючКоторыйВамВыдалCertBot}

এবং এন্টার চাপুন।

এর পরে, সার্টবট ডিএনএস-এ এই রেকর্ডগুলির উপস্থিতি পরীক্ষা করবে এবং আপনার জন্য শংসাপত্র তৈরি করবে।
যদি আপনি একটি শংসাপত্র যোগ করেছেন কিন্তু certbot এটি খুঁজে পাওয়া যায়নি - 5-10 মিনিটের পরে কমান্ডটি পুনরায় চালু করার চেষ্টা করুন.

ঠিক আছে, এখানে আমরা 90 দিনের জন্য একটি Let'sEncrypt শংসাপত্রের গর্বিত মালিক, কিন্তু এখন আমাদের এটি ডকারে আপলোড করতে হবে।

এটি করার জন্য, সবচেয়ে তুচ্ছ উপায়ে, docker-compose.yml-এ, nginx বিভাগে, আমরা ডিরেক্টরিগুলি লিঙ্ক করি।

SSL সহ docker-compose.yml এর উদাহরণ

version: '2'
services:
    php:
        build: ./php-fpm
        volumes:
            - ./StomUp:/var/www/StomUp
            - /etc/letsencrypt/live/stomup.ru/:/etc/letsencrypt/live/stomup.ru/
            - ./php-fpm/php.ini:/usr/local/etc/php/php.ini
        depends_on:
            - mysql
        container_name: "StomPHP"
    web:
        image: nginx:latest
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - ./StomUp:/var/www/StomUp
            - /etc/letsencrypt/:/etc/letsencrypt/
            - ./nginx/main.conf:/etc/nginx/conf.d/default.conf
        depends_on:
            - php
    mysql:
        image: mysql:5.7
        command: mysqld --sql_mode=""
        environment:
            MYSQL_ROOT_PASSWORD: xxx
        ports:
            - "3333:3306"

সংযুক্ত? দুর্দান্ত - চলুন চালিয়ে যাওয়া যাক:

এখন আমাদের কনফিগার পরিবর্তন করতে হবে nginx সাথে কাজ করা 443 পোর্ট এবং SSL এর সাধারণত:

SSL সহ main.conf কনফিগারের উদাহরণ

#
server {
	listen 443 ssl http2;
	listen [::]:443 ssl http2;

	server_name *.stomup.ru stomup.ru;
	set $base /var/www/StomUp;
	root $base/public;

	# SSL
	ssl_certificate /etc/letsencrypt/live/stomup.ru/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/stomup.ru/privkey.pem;
	ssl_trusted_certificate /etc/letsencrypt/live/stomup.ru/chain.pem;

      client_max_body_size 5M;

      location / {
          # try to serve file directly, fallback to index.php
          try_files $uri /index.php$is_args$args;
      }

      location ~ ^/index.php(/|$) {
          #fastcgi_pass unix:/var/run/php7.2-fpm.sock;
          fastcgi_pass php:9000;
          fastcgi_split_path_info ^(.+.php)(/.*)$;
          include fastcgi_params;
          fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
          fastcgi_param DOCUMENT_ROOT $realpath_root;
          fastcgi_buffer_size 128k;
          fastcgi_buffers 4 256k;
          fastcgi_busy_buffers_size 256k;
          internal;
      }

      location ~ .php$ {
          return 404;
      }

      error_log /var/log/nginx/project_error.log;
      access_log /var/log/nginx/project_access.log;
}


# HTTP redirect
server {
	listen 80;
	listen [::]:80;

	server_name *.stomup.ru stomup.ru;

	location / {
		return 301 https://stomup.ru$request_uri;
	}
}

আসলে, এই ম্যানিপুলেশনের পরে, আমরা ডকার-কম্পোজ সহ ডিরেক্টরিতে যাই, ডকার-কম্পোজ আপ -ডি লিখি। এবং আমরা SSL এর কার্যকারিতা পরীক্ষা করি। সবকিছু বন্ধ করা উচিত.

প্রধান জিনিসটি ভুলে যাওয়া উচিত নয় যে Let'sEnctypt শংসাপত্রটি 90 দিনের জন্য জারি করা হয় এবং আপনাকে কমান্ডের মাধ্যমে এটি পুনর্নবীকরণ করতে হবে sudo certbot renew, এবং তারপর কমান্ড দিয়ে প্রকল্পটি পুনরায় চালু করুন docker-compose restart

আরেকটি বিকল্প হল এই ক্রমটি ক্রনট্যাবে যোগ করা।

আমার মতে এটি ডকার ওয়েব-অ্যাপের সাথে SSL সংযোগ করার সবচেয়ে সহজ উপায়।

PS অনুগ্রহ করে বিবেচনা করুন যে পাঠ্যটিতে উপস্থাপিত সমস্ত স্ক্রিপ্ট চূড়ান্ত নয়, প্রকল্পটি এখন গভীর দেব পর্যায়ে রয়েছে, তাই আমি আপনাকে কনফিগারগুলির সমালোচনা না করার জন্য বলতে চাই - সেগুলি অনেকবার সংশোধন করা হবে।

উত্স: www.habr.com