הגדרת קבלה אוטומטית של אישורי letsencrypt באמצעות docker ב-linux

לאחרונה שיניתי את השרת הווירטואלי, ונאלצתי להגדיר הכל שוב. אני מעדיף שהאתר יהיה נגיש דרך https ואפשר לקבל אישורים ל-sencrypt ולחדש אותם באופן אוטומטי. ניתן להשיג זאת על ידי שימוש בשתי תמונות docker nginx-proxy ו-nginx-proxy-companion.

זהו מדריך כיצד להגדיר אתר ב-Docker, עם פרוקסי שמקבל באופן אוטומטי תעודות SSL. נעשה שימוש בשרת הוירטואלי CentOS 7.

אני מניח שהשרת כבר נרכש, הוגדר, נכנס באמצעות מפתח, fail2ban הותקן וכו'.

ראשית עליך להתקין docker.

1. ראשית עליך להתקין תלות

   $ sudo yum install -y yum-utils  device-mapper-persistent-data lvm2

2. חבר מאגר

   $ sudo yum-config-manager  --add-repo  https://download.docker.com/linux/centos/docker-ce.repo

3. לאחר מכן התקן את מהדורת הקהילה של Docker

   $ sudo yum install docker-ce docker-ce-cli containerd.io

4. הוסף docker להפעלה והרצה

   $ sudo systemctl enable docker
   $ sudo systemctl start docker

5. הוסף משתמש לקבוצת docker כדי להיות מסוגל להפעיל את docker ללא sudo

   $ usermod -aG docker user

השלב הבא הוא התקנת docker-compose. ניתן להתקין את כלי השירות בכמה דרכים, אבל אני מעדיף להתקין דרך ה-pip manager ו-virtualenv, כדי לא להעמיס על המערכת בחבילות מיותרות.

1. התקן pip

   $ sudo yum install python-pip

2. התקן את virtualenv

   $ pip install virtualenv

3. לאחר מכן עליך ליצור תיקיה עם הפרויקט ולאתחל אותה. התיקיה עם כל מה שאתה צריך כדי לנהל חבילות תיקרא ve.

   $ mkdir docker
   $ cd docker
   $ virtualenv ve

4. כדי להתחיל להשתמש בסביבה הוירטואלית, עליך להפעיל את הפקודה הבאה בתיקיית הפרויקט.

   $ source ve/bin/activate

5. אתה יכול להתקין docker-compose.

   pip install docker-compose

   כדי שהקונטיינרים יראו אחד את השני, ניצור רשת. כברירת מחדל, נעשה שימוש במנהל ההתקן של הגשר.

   $ docker network create network

   לאחר מכן עליך להגדיר docker-compose, ה-proxy יהיה בתיקיית ה-proxy, אתר הבדיקה יהיה בתיקיית הבדיקה. לדוגמה, אני משתמש בשם התחום example.com

   $ mkdir proxy
   $ mkdir test
   $ touch proxy/docker-compose.yml
   $ touch test/docker-compose.yml

   תוֹכֶן proxy/docer-compose.yml

   version: '3'
   
   networks:
     default:
       external:
         name: network
   
   services:
     nginx-proxy:
       container_name: nginx-proxy
       image: jwilder/nginx-proxy
       ports:
         - 80:80
         - 443:443
       volumes:
         - certs:/etc/nginx/certs
         - vhost.d:/etc/nginx/vhost.d
         - html:/usr/share/nginx/html
         - /var/run/docker.sock:/tmp/docker.sock:ro
   
     nginx-proxy-letsencrypt:
       container_name: nginx-proxy-letsencrypt
       image: jrcs/letsencrypt-nginx-proxy-companion
       volumes: 
         - certs:/etc/nginx/certs
         - vhost.d:/etc/nginx/vhost.d
         - html:/usr/share/nginx/html
         - /var/run/docker.sock:/var/run/docker.sock:ro
       environment:
         - NGINX_PROXY_CONTAINER=nginx-proxy
   
   volumes:
     certs:
     vhost.d:
     html:

   משתנה הסביבה NGINX_PROXY_CONTAINER הכרחי שהמיכל של letsencrypt יראה את מיכל ה-proxy. התיקיות /etc/nginx/certs /etc/nginx/vhost.d ו- /usr/share/nginx/html חייבות להיות משותפות על ידי שני המכילים. כדי שהמיכל של letsencrypt יפעל כהלכה, האפליקציה חייבת להיות נגישה גם ביציאה 80 וגם ב-443.

   תוֹכֶן test/docer-compose.yml

   version: '3'
   
   networks:
     default:
       external:
         name: network
   
   services:
   
     nginx:
       container_name: nginx
       image: nginx:latest
       environment:
         - VIRTUAL_HOST=example.com
         - LETSENCRYPT_HOST=example.com
         - [email protected]

   כאן, יש צורך במשתני סביבה כדי שהפרוקסי יעבד נכון את הבקשה לשרת ויבקש אישור לשם התחום הנכון.

   כל מה שנותר הוא להפעיל docker-compose

   $ cd proxy
   $ docker-compose up -d
   $ cd ../test
   $ docker-compose up -d

מקור: www.habr.com