-1

Самый простой способ получить доступ по 443 порту в nginx docker, какой? nginx:latest

Мне в доверенные их даже добавлять и не нужно. Тут идея вот в чем, во первых я не фига не секу в TLS. Во вторых меня БОЛЕЕ ЧЕМ устроит ситуация, когда браузер будет говорить - "Соединение не защищено, принять риск и продолжить". То есть доступ по 443 порту и протоколу HTTPS это все, что мне нужно.

Вот собственно самый самый простой путь для достижения этого в контейнере nginx в docker?

5
  • 1
    а в чем проблема/вопрос? Commented 31 авг. 2023 в 19:57
  • хочу иметь возможность зайти на сайт по 443 порту, подойдет даже вариант с надписью "сделать исключение для этого сайта", понимаете?) Commented 31 авг. 2023 в 21:17
  • certbot --nginx
    – Pak Uula
    Commented 1 сент. 2023 в 3:56
  • @PakUula спасибо, а пару слов о нем если не трудно? введу я эту команду следующие действия? Почему все так в кратце?) Я дополнил свой вопрос если что Commented 2 сент. 2023 в 14:29
  • @DenisLopatin Добавил в качестве ответа
    – Pak Uula
    Commented 3 сент. 2023 в 1:13

2 ответа 2

1

Допустим, ваш контейнер с nginx запущен. docker ps выдаёт что-то вроде

CONTAINER ID   IMAGE          COMMAND                  CREATED         STATUS         PORTS     NAMES
dcda1cbc1757   nginx:latest   "/docker-entrypoint.…"   5 seconds ago   Up 4 seconds   80/tcp    elated_austin

Установка сертификатов для доменов

Изначально в вашем вопросе не было подробностей, поэтому я написал в комментарии про certbot. Для вашей задачи это оверкилл, поэтому можете сразу переходить ко второй части, про самоподписной сертификат.

Нужно "зайти внутрь" контейнера и установить в нём certbot, утилиту, которая устанавливает бесплатные сертификаты от Let's Encrypt

  1. Подключитесь к контейнеру и запустите в нём bash: docker exec -it dcda1cbc1757 bash. Здесь dcda1cbc1757 - идентификатор контейнера, напечатанный docker ps. У вас наверняка другой, замените.

  2. Если идентификатор верный, и контейнер работает, то откроется строка ввода bash для пользователя root:

    root@dcda1cbc1757:/#
    
  3. Надеюсь, у вас nginx запущен из образа nginx:latest, который собран на базе Debian. Тогде вам нужно обновить пакеты apt и установить certbot:

    apt update
    apt install certbot python3-certbot-nginx -y
    

    Если у вас образ на базе alpine, то нужные пакеты устанавливаются командой apk add certbot certbot-nginx.

  4. Запустите certbot: certbot --nginx Программа задаст вам пару вопросов, заставит принять пользовательское соглашение, затем проанализирует конфигурационные файлы nginx и спросит, для каких доменов запрашивать сертификаты.

  5. Сертификаты и сопутствующие технический файлы будут сохранены в каталог /etc/letsencrypt. По-умолчанию этот каталог находится внутри контейнера, и сертификаты пропадут при пересоздании контейнера. Если вам нужно, чтобы они сохранялись, то перезапустите контейнер nginx и отмапьте этот каталог на файловую систему хоста: docker run -v /path/in/host/fs:/etc/letsencrypt nginx:latest (ну или как вы там запускаете).

Установка сертификата для тестирования

Установить самоподписной сертификат

Нужно зайти в контейнер, чтобы сгенерировать сертификат и обновить конфигурационный файл nginx.

  1. Зайти в контейнер: docker exec -it dcda1cbc1757 bash. Здесь dcda1cbc1757 - идентификатор контейнера, напечатанный docker ps. У вас наверняка другой, замените.

  2. В контейнере выполните команды

    cd /etc/nginx
    mkdir certs
    cd certs
    openssl req -newkey rsa:2048 -nodes -keyout server.key -x509 -days 365 -out server.crt
    

    Последняя команда задаст вам пяток вопросов об идентификации сертификата, сгенерирует ключ RSA длиной 2048 бит в файл /etc/nginx/certs/server.key и сертификат в файл /etc/nginx/certs/server.crt. Срок валидности сертификата 365 дней, ключ без пароля.

  3. Установите какой-нибудь редактор, например vim: apt install vim -y

  4. Отредактируйте настройки вашего сервера. В примере ниже редактируются настройки дефолтного сервера:

    editor /etc/nginx/conf.d/default.conf
    

    Добавьте в параметры сервера listen 443 ssl; и пути к ключу и сертификату:

    server {
       listen       80;
       listen  [::]:80;
       listen  443 ssl;
       ssl_certificate     /etc/nginx/certs/server.crt;
       ssl_certificate_key /etc/nginx/certs/server.key;
    

    Сохраните файл.

  5. Перезагрузите nginx: nginx -s reload

  6. Проверьте (прямо внутри контейнера): curl -k https://localhost Опция -k отключает проверку валидности сертификата. Если всё верно, curl напечатает содержимое index.html сервера

    <!DOCTYPE html>
    <html>
    <head>
    <title>Welcome to nginx!</title>
    <style>
    html { color-scheme: light dark; }
    body { width: 35em; margin: 0 auto;
    font-family: Tahoma, Verdana, Arial, sans-serif; }
    </style>
    </head>
    <body>
    
3
  • Спасибо, сначала я пробовал вариант №1, но как я понимаю, я не могу запросить сертификаты не подтвердив права на домен. Ну то есть, условно, я не могу запросить у Let's Encrypt сертификаты для доменов mvideo или ozon. Дело в том, что адреса доменов корректные и уже располагаются в сети, я же хотел поднять сервер локально, и все получилось, кроме tls соединения. Вариант №2 попробую чуть позже, но суть в том, что утилита openssl просто генерирует два самоподписанных сертификата на 365 дней в данном случае? Условно, я могу любой утилитой сгенерировать их и настроить nginx? Commented 3 сент. 2023 в 9:51
  • 1
    @DenisLopatin да, certbot проверяет, что у вас есть доступ к домену. Поэтому он не выдаст вам сертификат на чужой домен. Во втором варианте вы генерируете произвольный сертификат, но браузеры и прочие программы не примут его, так как он не имеет доверенный корневой сертификат. Вам нужно будет либо отключать проверки (например, curl -k) либо добавлять в исключения.
    – Pak Uula
    Commented 3 сент. 2023 в 21:02
  • Ну браузеры должны позволить в таком случае принять риск и продолжить? Даже без добавления в доверенные Commented 4 сент. 2023 в 8:55
0

Вот мой конфиг для nginx, может быть он поможет

server {
  listen 80;
  listen 443 ssl;
  server_name myserverfit.com;

  ssl_certificate /etc/nginx/certs/chain.crt;
  ssl_certificate_key /etc/nginx/certs/serverKey.crt;

  ssl_verify_client off;

  location / {
    root /usr/share/nginx/html;
    index index.html index.htm;
  }
  glpat-RyCbALxj3_esK_pZbQbr

location /index {
    proxy_pass https://server:8085/index;
    proxy_ssl_verify off;
  }

  location /hash-message {
    proxy_pass https://server:8085/hash-message;
    proxy_ssl_verify off;
  }

  error_page 500 502 503 504 /50x.html;
  location = /50x.html {
    root /usr/share/nginx/html;
  }
}

Еще нужно добавить сертификаты в доверенные. На Windows это вроде делается легко, а если используете Linux придется поколдовать. Плюс надо в самом браузере также добавить сертификат как доверенный. Легче всего это делается в Google Chrome.

1
  • Нет, мне в доверенные их даже добавлять и не нужно. Тут идея вот в чем, во первых я не фига не секу в TLS. Во вторых меня БОЛЕЕ ЧЕМ устроит ситуация, когда браузер будет говорить - "Соединение не защищено, принять риск и продолжить". То есть доступ по 443 порту и протоколу HTTPS это все, что мне нужно. Отсюда возникает вопрос - могу ли я просто сгенерировать эти сертификаты и указать путь до них в nginx, да так, от балды как говорится. Или все несколько сложнее? Commented 2 сент. 2023 в 14:27

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.