yuebin's blog

要开启 HTTPS 访问，你需要为你的域名配置 SSL 证书，并修改 Nginx 配置以支持 HTTPS。以下是具体步骤：

1. 获取 SSL 证书

推荐使用 Let’s Encrypt 免费 SSL 证书。你可以使用 certbot 工具来获取证书。

在主机A上安装 Certbot

sudo apt update
sudo apt install certbot

获取 SSL 证书

运行以下命令获取证书（确保域名已解析到主机A的IP地址）：

sudo certbot certonly --standalone -d your-domain.com

• 将 your-domain.com 替换为你的实际域名。
• 证书会保存在 /etc/letsencrypt/live/your-domain.com/ 目录下。

2. 修改 Nginx 配置文件

更新主机A上的 Nginx 配置文件，使其支持 HTTPS。

编辑之前创建的 reverse-proxy.conf 文件：

nano ~/nginx-proxy/conf.d/reverse-proxy.conf

修改为以下内容：

server {
    listen 80;
    server_name your-domain.com;
    return 301 https://$host$request_uri; # 将所有 HTTP 请求重定向到 HTTPS
}

server {
    listen 443 ssl;
    server_name your-domain.com;

    ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        proxy_pass http://<服务器B的IP地址>:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

3. 修改 Docker Compose 文件

为了让 Nginx 容器能够访问主机上的 SSL 证书文件，需要将证书目录挂载到容器中。

编辑 docker-compose.yml 文件：

nano ~/nginx-proxy/docker-compose.yml

修改为以下内容：

version: '3'
services:
  nginx:
    image: nginx:latest
    container_name: nginx-proxy
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./conf.d:/etc/nginx/conf.d
      - /etc/letsencrypt:/etc/letsencrypt
    restart: always

4. 重启 Nginx 容器

更新配置后，重启 Nginx 容器以应用更改：

cd ~/nginx-proxy
docker-compose down
docker-compose up -d

5. 测试 HTTPS 访问

现在，你可以通过以下方式测试 HTTPS 是否正常工作：

1. 访问 https://your-domain.com，确保能够正常加载服务器B的内容。
2. 检查浏览器地址栏，确认显示为安全的 HTTPS 连接（小锁图标）。

6. 自动更新 SSL 证书（可选）

Let’s Encrypt 证书有效期为 90 天，需要定期更新。可以通过以下步骤设置自动更新。

手动测试更新

sudo certbot renew --dry-run

设置定时任务

编辑 crontab：

sudo crontab -e

添加以下内容，每天凌晨 2 点检查并更新证书：

0 2 * * * certbot renew --quiet --post-hook "docker restart nginx-proxy"

7. 防火墙配置

确保主机A的防火墙允许 HTTPS 流量（443 端口）：

sudo ufw allow 443

总结

通过以上步骤，你已经成功配置了 HTTPS 访问：

1. 使用 Let’s Encrypt 获取 SSL 证书。
2. 修改 Nginx 配置以支持 HTTPS。
3. 挂载 SSL 证书到 Docker 容器。
4. 重启 Nginx 并测试 HTTPS 访问。

如果遇到问题，可以检查 Nginx 日志（docker logs nginx-proxy）或 Certbot 日志（/var/log/letsencrypt/）来排查问题。

通过 Docker 部署 Nginx 并配置 HTTPS 反向代理，可以分为以下几个步骤：

1. 准备工作

1. 获取 SSL 证书：

   • 你可以从 Let’s Encrypt 或其他证书颁发机构获取免费的 SSL 证书。
   • 证书通常包括两个文件：
     • 证书文件（如 certificate.crt）。
     • 私钥文件（如 private.key）。

2. 准备配置文件：

   • 创建一个 Nginx 配置文件，用于定义反向代理和 HTTPS 配置。

3. 安装 Docker：

   • 确保你的服务器上已经安装了 Docker。如果没有安装，可以参考 Docker 官方文档。

2. 创建 Nginx 配置文件

在宿主机上创建一个目录（如 /root/nginx），用于存放 Nginx 配置文件和 SSL 证书。

目录结构：

/root/nginx/
├── nginx.conf
├── ssl/
│   ├── certificate.crt
│   └── private.key

Nginx 配置文件（nginx.conf）：

events {}

http {
    server {
        listen 80;
        server_name example.com;
        return 301 https://$host$request_uri;  # 将 HTTP 请求重定向到 HTTPS
    }

    server {
        listen 443 ssl;
        server_name example.com;

        ssl_certificate /etc/nginx/ssl/certificate.crt;  # SSL 证书路径
        ssl_certificate_key /etc/nginx/ssl/private.key;  # SSL 私钥路径

        ssl_protocols TLSv1.2 TLSv1.3;  # 支持的 SSL 协议版本
        ssl_ciphers HIGH:!aNULL:!MD5;   # 加密套件

        location / {
            proxy_pass http://backend-server:8080;  # 反向代理到后端服务
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }
    }
}

• 说明：
  • listen 80：监听 HTTP 请求，并将其重定向到 HTTPS。
  • listen 443 ssl：监听 HTTPS 请求。
  • ssl_certificate 和 ssl_certificate_key：指定 SSL 证书和私钥的路径。
  • proxy_pass：将请求反向代理到后端服务（如 backend-server:8080）。

3. 运行 Nginx 容器

使用 Docker 运行 Nginx 容器，并将配置文件和 SSL 证书挂载到容器中。

运行命令：

docker run -d \
  --name my-nginx \
  -p 80:80 \
  -p 443:443 \
  -v /root/nginx/nginx.conf:/etc/nginx/nginx.conf \
  -v /root/nginx/ssl:/etc/nginx/ssl \
  nginx

• 参数说明：
  • -d：以后台模式运行容器。
  • --name my-nginx：为容器命名为 my-nginx。
  • -p 80:80：将宿主机的 80 端口映射到容器的 80 端口（HTTP）。
  • -p 443:443：将宿主机的 443 端口映射到容器的 443 端口（HTTPS）。
  • -v /root/nginx/nginx.conf:/etc/nginx/nginx.conf：挂载 Nginx 配置文件。
  • -v /root/nginx/ssl:/etc/nginx/ssl：挂载 SSL 证书目录。
  • nginx：使用官方 Nginx 镜像。

4. 测试访问

1. HTTP 测试：

   • 访问 http://example.com，应该会自动重定向到 https://example.com。

2. HTTPS 测试：

   • 访问 https://example.com，确保页面正常加载，并且浏览器显示安全连接（锁图标）。

3. 后端服务测试：

   • 确保后端服务（如 backend-server:8080）正常运行，并且可以通过 Nginx 反向代理访问。

5. 其他注意事项

1. 证书更新：

   • 如果使用 Let’s Encrypt 证书，证书有效期为 90 天，需要定期更新。
   • 更新证书后，重启 Nginx 容器以加载新证书：

     docker restart my-nginx

2. 防火墙配置：

   • 确保服务器的防火墙允许 80（HTTP）和 443（HTTPS）端口的流量。

3. 日志查看：

   • 如果遇到问题，可以查看 Nginx 容器的日志：

     docker logs my-nginx

4. 性能优化：

   • 可以根据需要调整 Nginx 的 SSL 配置（如启用 HTTP/2、优化加密套件等）。

6. 总结

通过 Docker 部署 Nginx 并配置 HTTPS 反向代理的步骤如下：

1. 准备 SSL 证书和 Nginx 配置文件。
2. 使用 Docker 运行 Nginx 容器，挂载配置文件和证书。
3. 测试 HTTP 和 HTTPS 访问，确保反向代理正常工作。

如果你有其他问题，欢迎随时提问！