Как проксировать SSL за reverse proxy?

Question

[t38c3j]

Есть nginx в роли gateway, и куча внутренних сервисов за ним. Один из них сам выдает себе ssl, и у меня не получается подтянуть этот ssl в gateway чтоб он отдавался пользователю при посещении сайта. Как используя proxy_pass прокинуть этот ssl?

Текущая конфигурация gateway

server {
	listen 443;
	server_name example.com;

	location / {
		proxy_pass https://$upstream;
	}
}

Answer 1

[AUser0]

А вас всего 3 варианта. Или физически доставать/копировать сертификат из докера, и пользоваться им на этом gateway. Или генерировать ещё один сертификат в Let'sEncrypt - и использовать его. Или выделять на gateway для этого хоста отдельный IP (или нестандартный порт), и весь трафик без обработки пропускать посредством stream { server {...} } (что не сильно отличается от iptables с DNAT).

Comments

[t38c3j]

Третий вариант самый простой с дополнительным айпи

Answer 2

[Drno]

Дать nginx доступ к сертификату. И указать его в настройках

Но вообще правильнее проксировать без ssl

Либо делать просто редирект

Answer 3

[Александр Карабанов]

server {
  listen 443 ssl;
  server_name example.com;

  ssl_certificate /path/to/proxy/cert/example.com/fullchain.pem;
  ssl_certificate_key /path/to/proxy/cert/example.com/privkey.pem;

  location / {
    proxy_pass https://$upstream;
    proxy_ssl_server_name on;
    proxy_ssl_name $host;
    proxy_set_header Host $host;
  }
}

Параметр ssl (0.7.14) указывает на то, что все соединения, принимаемые на данном порту, должны работать в режиме SSL. Это позволяет задать компактную конфигурацию для сервера, работающего сразу в двух режимах — HTTP и HTTPS.

Синтаксис listen

Comments

[t38c3j]

А если нет возможности указать файл с сертификатом? Сервис находить во владениях докера а gateway нативно установлен

[Александр Карабанов]

t38c3j, выпусти отдельный сертификат для прокси с помощью Let's Encrypt

[t38c3j]

Александр Карабанов, Ага, я не уточнил что сервис уже выдал себе Let's Encrypt а не просто ssl

[Александр Карабанов]

t38c3j, можешь выпустить ещё сертификат - препятствий нет.

И что значит не просто ssl?

Answer 4

[Alexey Dmitriev]

Что нужно делать-вам уже ответили выше.
А насчет - "подтянуть этот ssl в gateway чтоб он отдавался пользователю при посещении сайта" - SSL придуман именно для того, чтобы нельзя было "подтянуть этот ssl в gateway чтоб он отдавался пользователю при посещении сайта".