🥇Nastavení automatického získávání certifikátů letsencrypt pomocí dockeru v linuxu

Nedávno jsem měnil virtuální server a musel jsem vše nastavit znovu. Preferuji, aby byl web dostupný přes https a certifikáty letsencrypt byly získávány a prodlužovány automaticky. Toho lze dosáhnout použitím dvou docker obrazů nginx-proxy a nginx-proxy-companion.

Toto je návod, jak nastavit web na dockeru s proxy, která automaticky získává SSL certifikáty. Používá se virtuální server CentOS 7.

Předpokládám, že server již byl zakoupen, nakonfigurován, a přístup na něj je prováděn přes klíč, fail2ban je nastaven atd.

Nejprve je nutné nainstalovat docker.

Nejprve je třeba nainstalovat závislosti

$ sudo yum install -y yum-utils device-mapper-persistent-data lvm2

Připojit repozitář

$ sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo

Pak nainstalovat docker community edition

$ sudo yum install docker-ce docker-ce-cli containerd.io

Přidat docker do automatického spouštění a spustit

$ sudo systemctl enable docker
$ sudo systemctl start docker

Přidat uživatele do skupiny docker, aby bylo možné spouštět docker bez sudo
```
$ usermod -aG docker user
```

Dalším krokem je nainstalovat docker-compose. Nástroj lze nainstalovat několika způsoby, ale já preferuji instalaci přes pip a virtualenv, abych nezahlcoval systém zbytečnými balíčky.

Nainstalovat pip
```
$ sudo yum install python-pip
```
Nainstalovat virtualenv
```
$ pip install virtualenv
```
Poté je třeba vytvořit složku s projektem a inicializovat ji. Složka se vším potřebným pro správu balíčků se bude jmenovat ve.
```
$ mkdir docker
$ cd docker
$ virtualenv ve
```
Aby bylo možné začít používat virtuální prostředí, je třeba provést následující příkaz ve složce s projektem.
```
$ source ve/bin/activate
```

Nyní je možné nainstalovat docker-compose.

pip install docker-compose

Aby kontejnery viděly navzájem, vytvoříme síť. Výchozí ovladač použitý je bridge.

$ docker network create network

Nyní je třeba nastavit docker-compose, proxy bude v složce proxy, testovací web v složce test. Pro příklad používám doménové jméno example.com

$ mkdir proxy
$ mkdir test
$ touch proxy/docker-compose.yml
$ touch test/docker-compose.yml

Obsah proxy/docker-compose.yml

verze: '3'

sítě:
  výchozí:
    externí:
      název: síť

služby:
  nginx-proxy:
    název_kontejneru: nginx-proxy
    obrázek: jwilder/nginx-proxy
    porty:
      - 80:80
      - 443:443
    objemy:
      - certs:/etc/nginx/certs
      - vhost.d:/etc/nginx/vhost.d
      - html:/usr/share/nginx/html
      - /var/run/docker.sock:/tmp/docker.sock:ro

  nginx-proxy-letsencrypt:
    název_kontejneru: nginx-proxy-letsencrypt
    obrázek: jrcs/letsencrypt-nginx-proxy-companion
    objemy: 
      - certs:/etc/nginx/certs
      - vhost.d:/etc/nginx/vhost.d
      - html:/usr/share/nginx/html
      - /var/run/docker.sock:/var/run/docker.sock:ro
    prostředí:
      - NGINX_PROXY_CONTAINER=nginx-proxy

objemy:
  certs:
  vhost.d:
  html:

Proměnná prostředí NGINX_PROXY_CONTAINER je potřeba, aby kontejner letsencrypt viděl kontejner proxy. Složky /etc/nginx/certs, /etc/nginx/vhost.d a /usr/share/nginx/html musí být sdíleny oběma kontejnery. Pro správnou funkci kontejneru letsencrypt musí být aplikace dostupná jak na portu 80, tak na portu 443.

Obsah test/docker-compose.yml

verze: '3'

sítě:
  výchozí:
    externí:
      název: síť

služby:

  nginx:
    název_kontejneru: nginx
    obrázek: nginx:latest
    prostředí:
      - VIRTUAL_HOST=example.com
      - LETSENCRYPT_HOST=example.com
      - LETSENCRYPT_EMAIL=admin@example.com

Zde jsou proměnné prostředí potřebné pro to, aby proxy správně zpracovávala požadavek na server a požádala o certifikát na správné doménové jméno.

Zbývá jen spustit docker-compose

$ cd proxy
$ docker-compose up -d
$ cd ../test
$ docker-compose up -d

Zdroj: habr.com

Nastavení automatického získávání certifikátů letsencrypt pomocí dockeru na linuxu