Configuração da obtenção automática de certificados letsencrypt com docker no linux

Recentemente mudei o servidor virtual e tive que configurar tudo novamente. Prefiro que o site esteja disponível por https e que os certificados letsencrypt sejam obtidos e renovados automaticamente. Isso pode ser alcançado usando duas imagens docker: nginx-proxy e nginx-proxy-companion.

Este é um guia sobre como configurar um site no docker, com um proxy que obtém automaticamente Certificados SSL. Um servidor virtual CentOS 7 é utilizado.

Presumo que o servidor já tenha sido comprado, configurado, com acesso via chave, e que o fail2ban esteja instalado, etc.

Para começar, precisamos instalar o docker.

1. Primeiro, é necessário instalar as dependências

   $ sudo yum install -y yum-utils device-mapper-persistent-data lvm2

2. Conectar o repositório

   $ sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo

3. Depois, instalar a edição comunitária do docker

   $ sudo yum install docker-ce docker-ce-cli containerd.io

4. Adicionar o docker à inicialização automática e iniciar

   $ sudo systemctl enable docker
   $ sudo systemctl start docker

5. Adicionar o usuário ao grupo docker, para que possa executar o docker sem sudo

   $ usermod -aG docker user

O próximo passo é instalar o docker-compose. A ferramenta pode ser instalada de várias maneiras, mas prefiro a instalação via pip manager e virtualenv, para não sobrecarregar o sistema com pacotes desnecessários.

1. Instalar pip

   $ sudo yum install python-pip

2. Instalar virtualenv

   $ pip install virtualenv

3. A seguir, precisamos criar uma pasta para o projeto e inicializá-la. A pasta com tudo necessário para gerenciar os pacotes será chamada de ve.

   $ mkdir docker
   $ cd docker
   $ virtualenv ve

4. Para começar a usar o ambiente virtual, execute o seguinte comando na pasta do projeto.

   $ source ve/bin/activate

5. Agora podemos instalar o docker-compose.

   pip install docker-compose

   Para que os contêineres se vejam, vamos criar uma rede. Por padrão, o driver bridge é usado.

   $ docker network create network

   Em seguida, precisamos configurar o docker-compose. O proxy estará na pasta proxy, e o site de teste na pasta test. Para fins de exemplo, uso o nome de domínio example.com

   $ mkdir proxy
   $ mkdir test
   $ touch proxy/docker-compose.yml
   $ touch test/docker-compose.yml

   Conteúdo proxy/docker-compose.yml

   versão: '3'
   
   redes:
     padrão:
       externo:
         nome: rede
   
   serviços:
     nginx-proxy:
       nome_do_container: nginx-proxy
       imagem: jwilder/nginx-proxy
       portas:
         - 80:80
         - 443:443
       volumes:
         - certs:/etc/nginx/certs
         - vhost.d:/etc/nginx/vhost.d
         - html:/usr/share/nginx/html
         - /var/run/docker.sock:/tmp/docker.sock:ro
   
     nginx-proxy-letsencrypt:
       nome_do_container: nginx-proxy-letsencrypt
       imagem: jrcs/letsencrypt-nginx-proxy-companion
       volumes:
         - certs:/etc/nginx/certs
         - vhost.d:/etc/nginx/vhost.d
         - html:/usr/share/nginx/html
         - /var/run/docker.sock:/var/run/docker.sock:ro
       ambiente:
         - NGINX_PROXY_CONTAINER=nginx-proxy
   
   volumes:
     certs:
     vhost.d:
     html:

   Variável de ambiente NGINX_PROXY_CONTAINER é necessária para que o container letsencrypt veja o container proxy. As pastas /etc/nginx/certs, /etc/nginx/vhost.d e /usr/share/nginx/html devem ser compartilhadas entre os dois containers. Para o funcionamento correto do container letsencrypt, o aplicativo deve estar acessível nas portas 80 e 443.

   Conteúdo test/docker-compose.yml

   versão: '3'
   
   redes:
     padrão:
       externo:
         nome: rede
   
   serviços:
   
     nginx:
       nome_do_container: nginx
       imagem: nginx:latest
       ambiente:
         - VIRTUAL_HOST=example.com
         - LETSENCRYPT_HOST=example.com
         - LETSENCRYPT_EMAIL=admin@example.com

   Aqui, as variáveis de ambiente são necessárias para que o proxy processe corretamente os pedidos ao servidor e solicite um certificado para o nome de domínio correto.

   Agora, só falta iniciar o docker-compose

   $ cd proxy
   $ docker-compose up -d
   $ cd ../test
   $ docker-compose up -d

Fonte: habr.com