До сих пор я использовал nginx достаточно тривиальным образом: на него "приземлялись" http/https обращения, и он служил "базой", на которой работал certbot и обновлял letsencrypt - сертификаты для разных доменов. Как правило, статические сайты хостились на самом сервере с nginx, а для тех, которые обеспечивали api - работа после nginx шла по http, то есть, nginx работал в роли ssl-termination. То есть, "из интернета мы обращаемся по https, а внутри сети у нас ходит http" - и все были счастливы.
Но наступил момент, когда мне "захотелось странного". А именно - внутри сети появился gitlab.
Гитлаб - это штука весьма самостоятельная, и он сам хостит https-сертификаты. То есть, если у меня теперь происходит обращение снаружи по имени гитлаба - то мне надо https - запрос так и отфорвардить внутрь сети.
При этом я могу по всякому настраивать http/https порты на самом гитлабе, но сейчас ониу меня настроены на 8080 и 8443.
я почитал разные советы, про директиву proxy_ssl_server_name, но ни один их них мне, вроде бы, не подходит. И старый способ с ssl-termination на уровне nginx мне тоже не подходит.
Типичный файл для proxy_pass выглядит примерно так:
server {
root /var/www/<folder_of_site>;
index index.html index.htm index.nginx-debian.html;
server_name mygitlab.myserver.ru www.mygitlab.myserver.ru;
client_max_body_size 2048m;
location / {
proxy_redirect http://192.168.0.10:8080 /;
proxy_pass_header Server;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Scheme $scheme;
proxy_set_header Host $http_host;
proxy_set_header X-NginX-Proxy true;
proxy_connect_timeout 5;
proxy_read_timeout 240;
proxy_intercept_errors on;
proxy_pass http://192.168.0.10:8080;
}
}
Обратите внимание: здесь нигде не написано, что перекидываются соединения с 80-го порта, видимо, это поведение по умолчанию. Вот если бы я в директиве location
мог указать порт - я бы просто два раза повторил тот кусочек файла, который сожержит внутри себя директивы proхy_...
- и получил бы желаемый результат, видимо.
А желаемое поведение nginx-а я проиллюстрирую вот такой картинкой:
Буду очень благодарен за советы!
Что в итоге
Уважаемые господа, этот пункт добавлен уже после того, как всё получилось. Я последовал совету Pak Uula и сделал так,К ак он в своём ответе называет "правильно": теперь у меня nginx занмается ssl-termination, а Gitlab "просто работает". Оказывается, не нужно предпринимать дополнительных усилий для отключения https у гитлаба, в руководстве пишут "By default, Omnibus GitLab does not use HTTPS".
Таким образом, у меня всё заработало. Для тех, кто будет читать это пост я напишу даже чуть чуть подробнее:
0-й шаг: в DMZ на машинке с адресом 192.168.0.10
я поднимаю гитлаб в контейнере командой типа
sudo docker run --detach \
--hostname docker.junecat.ru \
--publish 8443:443 --publish 8080:80 --publish 1022:22 \
--name gitlab1 \
--restart always \
--volume $GITLAB_HOME/config:/etc/gitlab \
--volume $GITLAB_HOME/logs:/var/log/gitlab \
--volume $GITLAB_HOME/data:/var/opt/gitlab \
--shm-size 256m \
gitlab/gitlab-ce:latest
1-й шаг: создаю для nginx файл /etc/nginx/sites-available/docker.junecat.ru
с таким содержимым:
server {
listen 80;
listen [::]:80;
root /var/www/docker.junecat.ru/;
index index.html index.htm;
server_name docker.junecat.ru www.docker.junecat.ru;
location / {
proxy_redirect http://192.168.0.10:8080/ /;
proxy_pass_header Server;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Scheme $scheme;
proxy_set_header X-NginX-Proxy true;
proxy_connect_timeout 5;
proxy_read_timeout 240;
proxy_intercept_errors on;
proxy_pass http://192.168.0.10:8080/;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
обратите внимание, что команда
sudo ln -s /etc/nginx/sites-available/docker.junecat.ru /etc/nginx/sites-enabled/
уже выполнена ранее, и сайт есть не только в "доступных", но и в "разрешенных".
Как видите, пока никакого https
и сертификатов - нет. Они возникнут на
2-й шаг: говорим сертботу получить сертификаты и исправить в соответствии с ними файл nginx'а:
sudo certbot --nginx -d docker.junecat.ru -d www.docker.junecat.ru
Ну, и в заключение - исправленная картинка, как всё сейчас работает (просто чтоы никого не вводить в заблуждение):
map $scheme
создать переменную с нужным портом и потом использовать эту переменную в proxy_pass nginx.org/ru/docs/http/ngx_http_map_module.html