0

Есть учебное задание: поднять сервер LEMP через Docker с поддержкой ssl, в Docker должен быть только один контейнер. Также используется wordpress и phpmyadmin (не думаю, что это важно). Проблема в том, что не могу прикрутить ssl, просто http работает нормально. Dockerfile:

FROM debian:buster
RUN apt-get update && apt-get upgrade -y && apt-get install -y \
    mariadb-server\
    nginx \
    openssl \
    php \
    php-cli \
    php-fpm \
    php-mysql


#COPY ./ /var/www/localhost   <-- пока закомментировал, т.к. монтирую том

EXPOSE 80 443

WORKDIR /var/www/localhost/srcs/files
CMD ["bash","init_server.sh"]

Скрипт init_server.sh:

#!/bin/bash

#START MYSQL AND CREATE DB
service mysql start
echo "CREATE DATABASE wordpress;" | mysql
echo "GRANT ALL PRIVILEGES ON wordpress.* TO 'root'@'localhost';" | mysql
echo "FLUSH PRIVILEGES;" | mysql --skip-password
echo "update mysql.user set plugin = 'mysql_native_password' where user='root';" | mysql
mysql wordpress -u root < /var/www/localhost/srcs/files/wordpress.sql
service mysql reload
mysql -u root

#CREATE SSL KEY
openssl req -x509 -nodes -days 365 -newkey rsa:4096 \
-keyout /etc/ssl/private/localhost.key \
-out /etc/ssl/certs/localhost.crt \
-subj "/C=RU/ST=Town/L=Town/O=My_school/OU=IT/CN=localhost"
#dhparam сгенерировал один раз, потом просто копирую
#openssl dhparam -out /var/www/localhost/srcs/files/dhparam.pem 4096
cp /var/www/localhost/srcs/files/dhparam.pem /etc/nginx/
chown -R www-data /var/www
#REMOVE DEFAULT NGINX'S SITE AND ADD MY SITE
rm -rf /etc/nginx/sites-enabled/default
rm -rf /etc/nginx/sites-available/default
cp /var/www/localhost/srcs/files/nginx.conf /etc/nginx/sites-available/
mv /etc/nginx/sites-available/nginx.conf /etc/nginx/sites-available/localhost
ln -s /etc/nginx/sites-available/localhost /etc/nginx/sites-enabled/

service php7.3-fpm start

nginx -g 'daemon off;'

Конфиг nginx выглядлит так:

server {

    listen 443 ssl;
    listen [::]:443 ssl;    
    #ssl on;
    ssl_certificate /etc/ssl/certs/localhost.crt;
    ssl_certificate_key /etc/ssl/private/localhost.key;

#Как я понмаю, особо смысла для учебной ситуации в следующем ниже нет, но всё таки решил оставить.
ssl_protocols TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/nginx/dhparam.pem;
ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384;
ssl_ecdh_curve secp384r1; # Requires nginx >= 1.1.0
ssl_session_timeout  10m;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off; # Requires nginx >= 1.5.9
ssl_stapling on; # Requires nginx >= 1.3.7
ssl_stapling_verify on; # Requires nginx => 1.3.7
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;
# Disable strict transport security for now. You can uncomment the following
# line if you understand the implications.
# add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";

    root /var/www/localhost/srcs/server/wordpress;
    index index.php index.html index.htm;

    server_name localhost www.localhost;
    #server_name localhost;

    location /test/ {
        autoindex on;
    }

    location ~ \.php$ {
        #include snippets/fastcgi-php.conf;
        #fastcgi_pass unix:/run/php/php7.3-fpm.sock;

        fastcgi_pass unix:/run/php/php7.3-fpm.sock;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        include fastcgi_params;
        include snippets/fastcgi-php.conf;
    }
}

server {
    listen 80;
    listen [::]:80;
    server_name localhost www.localhost;
    return 302 https://$server_name$request_uri;
}

Запускаю контейнер так:

docker run --mount type=volume,source=ft_serv_vol,target=/var/www/localhost -p 44444:80 -p 443:443 my_super_server 

1 ответ 1

0

У меня была похожая проблема, вообщем отправлялись не шифрованные данные по порту 80 HTTP на порт 443 HTTPS и наоборот. В итоге имел ошибку SSL_ERROR_RX_RECORD_TOO_LONG. То есть браузер вместо SSL трафика получал не шифрованные данные и ругался что ответ получен длинный.

Моя схема работы: 111.111.111.111 белый IP -> Роутер шлюз на Kerio Control -> обязательно ДВА ПРАВИЛА проброса с 80 на 80 и второе 443 на 443 на машину в локальной сети с IP 192.168.10.134.

Раньше было одно правило, и из за этого данные рандомно отправлялись с клиента 80 на порт сервера 443 и с порта сервера 443 на порт клиента 80. Ошибка была плавающей, плюс браузеры, ОС кэшировали данные внося свою сумятицу. Вообщем у кого такая ошибка, нужно разбираться с фаерволами, пробрасами портов.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.