डॉकर वेब-ऐप के लिए एसएसएल प्रमाणपत्र

इस लेख में, मैं आपके साथ डॉकर पर चल रहे आपके वेब एप्लिकेशन के लिए एसएसएल प्रमाणपत्र बनाने की एक विधि साझा करना चाहता हूं, क्योंकि... मुझे इंटरनेट के रूसी भाषा वाले हिस्से में ऐसा कोई समाधान नहीं मिला।

कट के अंतर्गत अधिक विवरण।

हमारे पास docker v.17.05, docker-compose v.1.21, Ubuntu Server 18 और एक पिंट शुद्ध Let'sEncrypt था। ऐसा नहीं है कि डॉकर पर उत्पादन तैनात करना आवश्यक है। लेकिन एक बार जब आप डॉकर का निर्माण शुरू कर देते हैं, तो इसे रोकना मुश्किल हो जाता है।

तो, आरंभ करने के लिए, मैं मानक सेटिंग्स दूंगा - जो हमारे पास विकास चरण में थी, यानी। सामान्य तौर पर पोर्ट 443 और एसएसएल के बिना:

डोकर-compose.yml

version: '2'
services:
    php:
        build: ./php-fpm
        volumes:
            - ./StomUp:/var/www/StomUp
            - ./php-fpm/php.ini:/usr/local/etc/php/php.ini
        depends_on:
            - mysql
        container_name: "StomPHP"
    web:
        image: nginx:latest
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - ./StomUp:/var/www/StomUp
            - ./nginx/main.conf:/etc/nginx/conf.d/default.conf
        depends_on:
            - php
    mysql:
        image: mysql:5.7
        command: mysqld --sql_mode=""
        environment:
            MYSQL_ROOT_PASSWORD: xxx
        ports:
            - "3333:3306"

nginx/main.conf

 server {
    listen 80;
    server_name *.stomup.ru stomup.ru;
   root /var/www/StomUp/public;
     client_max_body_size 5M;

    location / {
        # try to serve file directly, fallback to index.php
        try_files $uri /index.php$is_args$args;
  }

    location ~ ^/index.php(/|$) {
      #fastcgi_pass unix:/var/run/php7.2-fpm.sock;
       fastcgi_pass php:9000;
       fastcgi_split_path_info ^(.+.php)(/.*)$;
      include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
       fastcgi_param DOCUMENT_ROOT $realpath_root;
        fastcgi_buffer_size 128k;
       fastcgi_buffers 4 256k;
        fastcgi_busy_buffers_size 256k;
       internal;
    }

    location ~ .php$ {
        return 404;
    }

     error_log /var/log/nginx/project_error.log;
    access_log /var/log/nginx/project_access.log;
}

अगला, हमें वास्तव में एसएसएल लागू करने की आवश्यकता है। सच कहूँ तो, मैंने कॉम ज़ोन का अध्ययन करने में लगभग 2 घंटे बिताए। वहां दिए गए सभी विकल्प दिलचस्प हैं। लेकिन परियोजना के मौजूदा चरण में, हमें (व्यवसाय को) जल्दी और विश्वसनीय तरीके से काम करने की जरूरत है एसएसएल आइए एनक्रिप्ट करें к nginx कंटेनर और कुछ नहीं.

सबसे पहले, हमने इसे सर्वर पर इंस्टॉल किया certbot
sudo apt-get install certbot

इसके बाद, हमने अपने डोमेन के लिए वाइल्डकार्ड प्रमाणपत्र तैयार किया

sudo certbot certonly -d stomup.ru -d *.stomup.ru --manual --preferred-challenges dns

निष्पादन के बाद, सर्टिबोट हमें 2 TXT रिकॉर्ड प्रदान करेगा जिन्हें DNS सेटिंग्स में निर्दिष्ट करने की आवश्यकता है।

_acme-challenge.stomup.ru TXT {тотКлючКоторыйВамВыдалCertBot}

और एंटर दबाएं.

इसके बाद, सर्टिफिकेट डीएनएस में इन रिकॉर्ड्स की मौजूदगी की जांच करेगा और आपके लिए सर्टिफिकेट बनाएगा।
यदि आपने कोई प्रमाणपत्र जोड़ा है लेकिन certbot यह नहीं मिला - 5-10 मिनट के बाद कमांड को पुनः आरंभ करने का प्रयास करें.

खैर, यहां हम 90 दिनों के लिए Let'sEncrypt प्रमाणपत्र के गौरवान्वित मालिक हैं, लेकिन अब हमें इसे डॉकर पर अपलोड करना होगा।

ऐसा करने के लिए, सबसे सामान्य तरीके से, docker-compose.yml में, nginx अनुभाग में, हम निर्देशिकाओं को लिंक करते हैं।

एसएसएल के साथ उदाहरण docker-compose.yml

version: '2'
services:
    php:
        build: ./php-fpm
        volumes:
            - ./StomUp:/var/www/StomUp
            - /etc/letsencrypt/live/stomup.ru/:/etc/letsencrypt/live/stomup.ru/
            - ./php-fpm/php.ini:/usr/local/etc/php/php.ini
        depends_on:
            - mysql
        container_name: "StomPHP"
    web:
        image: nginx:latest
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - ./StomUp:/var/www/StomUp
            - /etc/letsencrypt/:/etc/letsencrypt/
            - ./nginx/main.conf:/etc/nginx/conf.d/default.conf
        depends_on:
            - php
    mysql:
        image: mysql:5.7
        command: mysqld --sql_mode=""
        environment:
            MYSQL_ROOT_PASSWORD: xxx
        ports:
            - "3333:3306"

जुड़े हुए? बढ़िया - आइए जारी रखें:

अब हमें कॉन्फिगरेशन बदलने की जरूरत है nginx इसके साथ कार्य करने के लिए 443 बंदरगाह और एसएसएल आम तौर पर:

एसएसएल के साथ उदाहरण main.conf कॉन्फिगरेशन

#
server {
	listen 443 ssl http2;
	listen [::]:443 ssl http2;

	server_name *.stomup.ru stomup.ru;
	set $base /var/www/StomUp;
	root $base/public;

	# SSL
	ssl_certificate /etc/letsencrypt/live/stomup.ru/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/stomup.ru/privkey.pem;
	ssl_trusted_certificate /etc/letsencrypt/live/stomup.ru/chain.pem;

      client_max_body_size 5M;

      location / {
          # try to serve file directly, fallback to index.php
          try_files $uri /index.php$is_args$args;
      }

      location ~ ^/index.php(/|$) {
          #fastcgi_pass unix:/var/run/php7.2-fpm.sock;
          fastcgi_pass php:9000;
          fastcgi_split_path_info ^(.+.php)(/.*)$;
          include fastcgi_params;
          fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
          fastcgi_param DOCUMENT_ROOT $realpath_root;
          fastcgi_buffer_size 128k;
          fastcgi_buffers 4 256k;
          fastcgi_busy_buffers_size 256k;
          internal;
      }

      location ~ .php$ {
          return 404;
      }

      error_log /var/log/nginx/project_error.log;
      access_log /var/log/nginx/project_access.log;
}


# HTTP redirect
server {
	listen 80;
	listen [::]:80;

	server_name *.stomup.ru stomup.ru;

	location / {
		return 301 https://stomup.ru$request_uri;
	}
}

दरअसल, इन जोड़तोड़ के बाद, हम Docker-compose वाली डायरेक्टरी में जाते हैं, docker-compose up -d लिखते हैं। और हम एसएसएल की कार्यक्षमता की जांच करते हैं। सब कुछ उतार देना चाहिए.

मुख्य बात यह नहीं भूलना है कि Let'sEnctypt प्रमाणपत्र 90 दिनों के लिए जारी किया जाता है और आपको इसे कमांड के माध्यम से नवीनीकृत करना होगा sudo certbot renew, और फिर कमांड के साथ प्रोजेक्ट को पुनरारंभ करें docker-compose restart

दूसरा विकल्प इस क्रम को क्रोंटैब में जोड़ना है।

मेरी राय में एसएसएल को डॉकर वेब-ऐप से कनेक्ट करने का यह सबसे आसान तरीका है।

पुनश्च कृपया ध्यान रखें कि पाठ में प्रस्तुत सभी स्क्रिप्ट अंतिम नहीं हैं, परियोजना अब गहन विकास चरण में है, इसलिए मैं आपसे कॉन्फ़िगरेशन की आलोचना न करने के लिए कहना चाहूंगा - उन्हें कई बार संशोधित किया जाएगा।

स्रोत: www.habr.com