W tym artykule chcę podzielić się z Wami sposobem na stworzenie certyfikatu SSL dla Waszej aplikacji internetowej działającej na Dockerze, ponieważ w rosyjskojęzycznej części internetu nie znalazłem podobnego rozwiązania.
Więcej informacji poniżej.
Mieliśmy docker v.17.05, docker-compose v.1.21, Ubuntu Server 18 i czystą wersję Let’sEncrypt. Nie oznacza to, że koniecznie trzeba używać Dockera do produkcji. Ale kiedy zaczniesz pracę z Dockerem, trudno jest przestać.
Zaczynając, podam standardowe ustawienia – które mieliśmy na etapie deweloperskim, tj. bez portu 443 oraz SSL ogólnie:
docker-compose.yml
version: '2'
services:
php:
build: .\/php-fpm
volumes:
- .\/StomUp:\/var\/www\/StomUp
- .\/php-fpm\/php.ini:\/usr\/local\/etc\/php\/php.ini
depends_on:
- mysql
container_name: "StomPHP"
web:
image: nginx:latest
ports:
- "80:80"
- "443:443"
volumes:
- .\/StomUp:\/var\/www\/StomUp
- .\/nginx\/main.conf:\/etc\/nginx\/conf.d\/default.conf
depends_on:
- php
mysql:
image: mysql:5.7
command: mysqld --sql_mode=""
environment:
MYSQL_ROOT_PASSWORD: xxx
ports:
- "3333:3306"
nginx\/main.conf
server {
listen 80;
server_name *.stomup.ru stomup.ru;
root \/var\/www\/StomUp\/public;
client_max_body_size 5M;
location \/ {
# próbuj najpierw serwować plik bezpośrednio, w przeciwnym razie przejdź do index.php
try_files $uri \/index.php$is_args$args;
}
location ~ ^\/index.php(\/|$) {
#fastcgi_pass unix:\/var\/run\/php7.2-fpm.sock;
fastcgi_pass php:9000;
fastcgi_split_path_info ^(.+.php)(\/.*)$;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
fastcgi_param DOCUMENT_ROOT $realpath_root;
fastcgi_buffer_size 128k;
fastcgi_buffers 4 256k;
fastcgi_busy_buffers_size 256k;
internal;
}
location ~ .php$ {
return 404;
}
error_log \/var\/log\/nginx\/project_error.log;
access_log \/var\/log\/nginx\/project_access.log;
}
Następnie musimy zaimplementować SSL. Szczerze mówiąc, spędziłem około dwóch godzin przeszukując strefę com. Wszystkie zaproponowane opcje są ciekawe. Ale na obecnym etapie projektu, potrzebowaliśmy (biznes) szybko i niezawodnie wdrożyć SSL Let’sEncrypt do nginx na kontenerze i nie więcej.
Najpierw zainstalowaliśmy na serwerze certbot
sudo apt-get install certbot
Następnie wygenerowaliśmy certyfikaty wildcard dla naszego domeny
sudo certbot certonly -d stomup.ru -d *.stomup.ru --manual --preferred-challenges dns
po wykonaniu certbota otrzymasz 2 rekordy TXT, które należy wprowadzić w ustawieniach DNS.
_acme-challenge.stomup.ru TXT {tenKluczKtóryOtrzymałeśOdCertBot}
A następnie naciśnij enter.
Po tym certbot sprawdzi, czy te rekordy istnieją w DNS i utworzy dla Ciebie certyfikaty.
jeśli dodałeś certyfikat, ale certbot nie został znaleziony — spróbuj ponownie uruchomić komendę za 5-10 minut.
Wow, jesteśmy dumni z posiadania certyfikatu Let’sEncrypt na 90 dni, ale teraz musimy go wprowadzić do Dockera.
Aby to zrobić, w docker-compose.yml, w sekcji nginx – łączymy katalogi.
Przykład docker-compose.yml z SSL
wersja: '2'
usługi:
php:
budowa: .\/php-fpm
wolumeny:
- .\/StomUp:\/var\/www\/StomUp
- \/etc\/letsencrypt\/live\/stomup.ru\/:\/etc\/letsencrypt\/live\/stomup.ru\/
- .\/php-fpm\/php.ini:\/usr\/local\/etc\/php\/php.ini
zależności:
- mysql
nazwa_kontenera: "StomPHP"
web:
obraz: nginx:latest
porty:
- "80:80"
- "443:443"
wolumeny:
- .\/StomUp:\/var\/www\/StomUp
- \/etc\/letsencrypt\/:\/etc\/letsencrypt\/
- .\/nginx\/main.conf:\/etc\/nginx\/conf.d\/default.conf
zależności:
- php
mysql:
obraz: mysql:5.7
polecenie: mysqld --sql_mode=""
środowisko:
MYSQL_ROOT_PASSWORD: xxx
porty:
- "3333:3306"
Związaliście? Super — kontynuujemy:
Teraz musimy zmienić konfigurację nginx do pracy z 443 portem i SSL ogólnie:
Przykład konfiguracji main.conf z SSL
#
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name *.stomup.ru stomup.ru;
set $base /var/www/StomUp;
root $base/public;
# SSL
ssl_certificate /etc/letsencrypt/live/stomup.ru/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/stomup.ru/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/stomup.ru/chain.pem;
client_max_body_size 5M;
location / {
# try to serve file directly, fallback to index.php
try_files $uri /index.php$is_args$args;
}
location ~ ^/index.php(/|$) {
#fastcgi_pass unix:/var/run/php7.2-fpm.sock;
fastcgi_pass php:9000;
fastcgi_split_path_info ^(.+.php)(/.*)$;
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
fastcgi_param DOCUMENT_ROOT $realpath_root;
fastcgi_buffer_size 128k;
fastcgi_buffers 4 256k;
fastcgi_busy_buffers_size 256k;
internal;
}
location ~ .php$ {
return 404;
}
error_log /var/log/nginx/project_error.log;
access_log /var/log/nginx/project_access.log;
}
# HTTP redirect
server {
listen 80;
listen [::]:80;
server_name *.stomup.ru stomup.ru;
location / {
return 301 https://stomup.ru$request_uri;
}
}
W rzeczy samej po tych manipulacjach – idziemy do katalogu z Docker-compose, piszemy docker-compose up -d. I sprawdzamy działanie SSL. Wszystko powinno działać.
Najważniejsze, nie zapominajcie, że certyfikat Let’sEncrypt jest wydawany na 90 dni i będziecie musieli go odnowić za pomocą polecenia sudo certbot renew, a potem zrestartować projekt poleceniem docker-compose restart
Alternatywnie - dodać tę sekwencję do crontab.
Moim zdaniem to najprostszy sposób na podłączenie SSL do Docker Web-app.
P.S. Proszę wziąć pod uwagę, że wszystkie skrypty przedstawione w tekście — nie są ostateczne, projekt jest obecnie w głębokiej fazie rozwoju, dlatego proszę nie krytykować konfiguracji — będą jeszcze wielokrotnie zmieniane.
Źródło: habr.com
