为 Docker 中的 Nginx 配置 HTTPS(2)

Let's Encrypt 是一个提供免费 SSL/TLS 证书的网站，它为用户提供了 certbot 工具用来生成 SSL/TLS 证书。方便起见，我们把 certbot 简单的封装到容器中。在用户的家目录下创建 certbot 目录，进入 certbot 目录并把下面的内容保存到 Dockerfile 文件中：

FROM alpine:3.4 RUN apk add --update bash certbot VOLUME ["/etc/letsencrypt"]

然后执行下面的命令创建 certbot 镜像：

$ docker build -t certbot:1.0 .

然后在 certbot 目录下创建自动更新证书的脚本 renew_cert.sh，内容如下：

#!/bin/bash
WEBDIR="$1"
LIST=('linuxmi.com' 'www.linuxmi.com')
LED_LIST=()
WWW_ROOT=/usr/share/nginx/html
for domain in ${LIST[@]};do
    docker run \
        --rm \
        -v ${WEBDIR}/nginx/conf.crt:/etc/letsencrypt \
        -v ${WEBDIR}/logs/letsencrypt:/var/log/letsencrypt \
        -v ${WEBDIR}/nginx/html:${WWW_ROOT} \
        certbot:1.0 \
        certbot certonly --verbose --noninteractive --quiet --agree-tos \
        --webroot -w ${WWW_ROOT} \
        --email="nick.li@grapecity.com" \
        -d "$domain"
    CODE=$?
    if [ $CODE -ne 0 ]; then
        FAILED_LIST+=($domain)
    fi
done

# output failed domains
if [ ${#FAILED_LIST[@]} -ne 0 ];then
    echo 'failed domain:'
    for (( i=0; i<${#FAILED_LIST[@]}; i++ ));
    do
        echo ${FAILED_LIST[$i]}
    done
fi

在用户的家目录中执行 ./renew_cert.sh /home/nick 命令就可以生成新的证书(/home/nick 为当前用户的家目录)。生成的证书被保存在 /home/nick/nginx/conf.crt/live 目录下，以域名命名的目录下保存着该域名的证书：

然后去检查下 nginx/html 目录，发现多了一个隐藏的 .well-known 目录，这个目录就是在生成证书时创建的：

有了 SSL/TLS 证书，接下来我们就可以配置 https 站点了。

为站点配置 SSL/TLS 证书

有了 SSL/TLS 证书，接下来更新 nginx 的配置文件就可以了，更新 nginx/conf.d/default.conf 的内容如下：

upstream web{
    server myweb:3000;
}

server {
    listen      80;
    listen      [::]:80;
    server_name linuxmi.com ;

location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root /usr/share/nginx/html;
    }
    location = /.well-known/acme-challenge/ {
        return 404;
    }
    return 301 https://$server_name$request_uri;}
server {
    listen      443;
    listen      [::]:443;
    server_name linuxmi.com;

# enable ssl
    ssl                      on;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    ssl_ciphers              "EECDH+ECDSA+AESGCM EECDH+aRSA+AESGCM EECDH+ECDSA+SHA384 EECDH+ECDSA+SHA256 EECDH+aRSA+SHA384 EECDH+aRSA+SHA256 EECDH EDH+aRSA !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS !RC4";

# config ssl certificate
    ssl_certificate          conf.crt/live/linuxmi.com/fullchain.pem;
    ssl_certificate_key      conf.crt/live/linuxmi.com/privkey.pem;

location ^~ /.well-known/acme-challenge/ {
        default_type "text/plain";
        root /usr/share/nginx/html;
    }
    location = /.well-known/acme-challenge/ {
            return 404;
    }
    location / {
        proxy_pass ;    }
}
server {
    listen      443;
    listen      [::]:443;
    server_name ;