SSL-certifikat för Docker web-app

I den här artikeln vill jag dela med mig av hur man skapar ett SSL-certifikat för din webbapplikation som körs på Docker, eftersom jag inte fann en sådan lösning på den ryskspråkiga delen av internet.

Läs mer nedan.

Vi hade docker v.17.05, docker-compose v.1.21, Ubuntu Server 18 och en ren Let’sEncrypt. Det är inte nödvändigt att driftsätta produktion på Docker, men om du väl har börjat bygga Docker blir det svårt att stoppa.

Så först ger jag standardinställningarna - som vi hade under utvecklingssteget, det vill säga utan port 443 och SSL i allmänhet:

docker-compose.yml

version: '2'
services:
    php:
        build: .\/php-fpm
        volumes:
            - .\/StomUp:\/var\/www\/StomUp
            - .\/php-fpm\/php.ini:\/usr\/local\/etc\/php\/php.ini
        depends_on:
            - mysql
        container_name: "StomPHP"
    web:
        image: nginx:latest
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - .\/StomUp:\/var\/www\/StomUp
            - .\/nginx\/main.conf:\/etc\/nginx\/conf.d\/default.conf
        depends_on:
            - php
    mysql:
        image: mysql:5.7
        command: mysqld --sql_mode=""
        environment:
            MYSQL_ROOT_PASSWORD: xxx
        ports:
            - "3333:3306"

nginx\/main.conf

 server {
    listen 80;
    server_name *.stomup.ru stomup.ru;
   root \/var\/www\/StomUp\/public;
     client_max_body_size 5M;

    location \/ {
        # försök att servera filen direkt, fallback till index.php
        try_files $uri \/index.php$is_args$args;
  }

    location ~ ^\/index.php(\/|$) {
      #fastcgi_pass unix:\/var\/run\/php7.2-fpm.sock;
       fastcgi_pass php:9000;
       fastcgi_split_path_info ^(.+.php)(\/.*)$;
      include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
       fastcgi_param DOCUMENT_ROOT $realpath_root;
        fastcgi_buffer_size 128k;
       fastcgi_buffers 4 256k;
        fastcgi_busy_buffers_size 256k;
       internal;
    }

    location ~ .php$ {
        return 404;
    }

     error_log \/var\/log\/nginx\/project_error.log;
    access_log \/var\/log\/nginx\/project_access.log;
}

Därefter behöver vi faktiskt implementera SSL. Jag ska vara ärlig — jag tillbringade cirka 2 timmar med att studera zonsidan. Alla föreslagna alternativ där är intressanta. Men under den aktuella fasen av projektet, behöver vi (affärsverksamheten) snabbt och pålitligt koppla på SSL Let’sEncrypt till nginx till containern och inte mer.

Först installerade vi på servern certbot
sudo apt-get install certbot

Därefter genererade vi wildcard-certifikat för vår domän

sudo certbot certonly -d stomup.ru -d *.stomup.ru --manual --preferred-challenges dns

efter att ha kört certbot kommer den att ge oss 2 TXT-poster som måste anges i DNS-inställningarna.

_acme-challenge.stomup.ru TXT {nyckelnDuFickFrånCertBot}

Och tryck på enter.

Efter detta kommer certbot att kontrollera om dessa poster finns i DNS och skapa certifikat för dig.
om du har lagt till certifikat men certbot inte hittade det — försök att köra kommandot igen om 5-10 minuter..

Nu är vi faktiskt stolta ägare av ett Let’sEncrypt-certifikat i 90 dagar, men nu måste vi få det att fungera i Docker.

För detta, på det mest banala sättet, länkar vi katalogerna i docker-compose.yml, under sektionen nginx.

Exempel på docker-compose.yml med SSL

version: '2'
services:
    php:
        build: ./php-fpm
        volumes:
            - ./StomUp:/var/www/StomUp
            - /etc/letsencrypt/live/stomup.ru/:/etc/letsencrypt/live/stomup.ru/
            - ./php-fpm/php.ini:/usr/local/etc/php/php.ini
        depends_on:
            - mysql
        container_name: "StomPHP"
    web:
        image: nginx:latest
        ports:
            - "80:80"
            - "443:443"
        volumes:
            - ./StomUp:/var/www/StomUp
            - /etc/letsencrypt/:/etc/letsencrypt/
            - ./nginx/main.conf:/etc/nginx/conf.d/default.conf
        depends_on:
            - php
    mysql:
        image: mysql:5.7
        command: mysqld --sql_mode=""
        environment:
            MYSQL_ROOT_PASSWORD: xxx
        ports:
            - "3333:3306"

Länkat? Suveränt — vi fortsätter:

Nu behöver vi ändra konfigurationen nginx för att arbeta med 443 porten och SSL i allmänhet:

Exempel på konfiguration main.conf med SSL

#
server {
	listen 443 ssl http2;
	listen [::]:443 ssl http2;

	server_name *.stomup.ru stomup.ru;
	set $base /var/www/StomUp;
	root $base/public;

	# SSL
	ssl_certificate /etc/letsencrypt/live/stomup.ru/fullchain.pem;
	ssl_certificate_key /etc/letsencrypt/live/stomup.ru/privkey.pem;
	ssl_trusted_certificate /etc/letsencrypt/live/stomup.ru/chain.pem;

      client_max_body_size 5M;

      location / {
          # try to serve file directly, fallback to index.php
          try_files $uri /index.php$is_args$args;
      }

      location ~ ^/index.php(/|$) {
          #fastcgi_pass unix:/var/run/php7.2-fpm.sock;
          fastcgi_pass php:9000;
          fastcgi_split_path_info ^(.+.php)(/.*)$;
          include fastcgi_params;
          fastcgi_param SCRIPT_FILENAME $realpath_root$fastcgi_script_name;
          fastcgi_param DOCUMENT_ROOT $realpath_root;
          fastcgi_buffer_size 128k;
          fastcgi_buffers 4 256k;
          fastcgi_busy_buffers_size 256k;
          internal;
      }

      location ~ .php$ {
          return 404;
      }

      error_log /var/log/nginx/project_error.log;
      access_log /var/log/nginx/project_access.log;
}


# HTTP redirect
server {
	listen 80;
	listen [::]:80;

	server_name *.stomup.ru stomup.ru;

	location / {
		return 301 https://stomup.ru$request_uri;
	}
}

Egentligen, efter dessa manipulationer, går vi till katalogen med Docker-compose, skriver docker-compose up -d. Och kontrollerar SSL:s funktionalitet. Allt bör fungera.

Kom ihåg att Let’sEncrypt-certifikatet utfärdas i 90 dagar och du måste förnya det med kommandot sudo certbot renew, och efteråt starta om projektet med kommandot docker-compose restart

Som alternativ — lägg till denna sekvens i crontab.

Enligt min åsikt är det det enklaste sättet att ansluta SSL till Docker Web-app.

P.S. Vänligen notera att alla skript som presenteras i texten — inte är slutgiltiga, projektet är för närvarande i en djup utvecklingsfas, så jag ber er att inte kritisera konfigurationerna — de kommer att förändras många gånger.

Källa: habr.com