Как обновить ssl в docker-compose?

Question

[Сергей Бурдужа]

Всем привет.
Есть старая сборка с докером, я ее давно использую, но недавно перестал работать ssl сертификат.
Стал искать в сети, и нашел разные альтернативы со скриптами для переустановки сертификата.
Только может быть есть способ их обновить без дополнительных танцев с бубном?

default.conf



docker-compose.yml

# Use root/example as user/password credentials
version: '3.1'

services:
  nginx:
    build:
      context: .
      dockerfile: docker/nginx.docker
    volumes:
      - ./:/var/www
      - ./docker/nginx/ssl:/etc/nginx/ssl
    ports:
      - "8088:443"
    links:
      - php-fpm

  php-fpm:
    build:
      context: .
      dockerfile: docker/php/Dockerfile
    container_name: php
    restart: unless-stopped
    tty: true
    working_dir: /var/www
    volumes:
      - ./:/var/www
      - ./docker/php/local.ini:/usr/local/etc/php/conf.d/local.ini
    links:
      - mysql

  mysql:
    image: mysql:8
    restart: always
    container_name: mysql
    environment:
      - "MYSQL_ROOT_PASSWORD=root"
    volumes:
      - "./docker/mysql:/var/lib/mysql"
    ports:
      - "33062:3306"

nginx.docker

FROM nginx:1.10

ADD ./docker/nginx/default.conf /etc/nginx/conf.d/default.conf
WORKDIR /var/www

И 2 файла
ssl-cert-snakeoil.key
ssl-cert-snakeoil.pem

Может быть где-то их можно сгенерировать а потом здесь заменить?

И ошибка в браузере

https://localhost:8088/api/posts net::ERR_CERT_AUTHORITY_INVALID

Заранее благодарен.

Answer 1

[Сергей Бурдужа]

Решил проблему, пересмотрел видео из курса.
Оказывается так просто, нужно просто у себя в системе установить nginx, и сертификаты snakeoil автоматически перекинутся и в контейнер.

Answer 2

[akelsey]

Два варианта минимум:

• первый - сгенерить серты, скопировать в контейнер и обновить контейнер
  
• второй - сгенерить серты, оставить на хостовой машине, примонтировать
  

Comments

[Сергей Бурдужа]

Я нашел такую инструкцию, только там нужно указывать домен, мне но не нужен, приложение будет открываться на порту, указанный в docker-compose.yml, например 8088.

sudo apt install certbot certbot-python-nginx

// вот тут не знаю как поступить
sudo certbot certonly --nginx -d vps.losst.pro -d www.vps.losst.pro

В папке /etc/letsencrypt/live/vps.losst.pro/ находятся такие файлы сертификатов:

cert.pem - файл сертификата, использовать его мы не будем;
chain.pem - файл цепочки сертификата, тоже не будем использовать;
privkey.pem - приватный ключ сертификата, надо прописать в параметре ssl_certificate_key;
fullchain.pem - в нём объединено содержимое cert.pem и chain.pem, надо прописать в параметре ssl_certificate.

server {
listen 443 ssl;
server_name vps.losst.pro www.vps.losst.pro;
access_log /var/log/nginx/vps-losst-ru.access.log main;
root /var/www/vps.losst.pro/public_html/;
index index.html index.htm;
ssl on;
ssl_certificate /etc/letsencrypt/live/vps.losst.pro/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/vps.losst.pro/privkey.pem;
location / {
try_files $uri $uri/ =404;
}
}

Подскажете, как решить проблему с доменом?

[akelsey]

Сергей Бурдужа, тогда зачем все эти танцы с сертификатом, если открываться будет по IP на порту?
PS
может быть убрать SSL совсем...

я посмотрел конфиг ваш, у вас же папка уже на хосте с сертификатами примонтирована в нджинкс:

- ./docker/nginx/ssl:/etc/nginx/ssl

[Сергей Бурдужа]

akelsey, конфиг свыше я скопировал с одного сайта, как инструкцию.
Мой конфиг nginx в шапке

[akelsey]

Сергей Бурдужа, я про текст вопроса и пишу. нужно цель понять с ssl, что б помочь вам с ответом. что за ресурс, для чего он, для учебы, или это лютый прод?

[Сергей Бурдужа]

akelsey, для docker, там устанавливаю laravel и работаю с ним локально.

[akelsey]

Сергей Бурдужа,
тогда могу посоветовать сгенерировать собственный CA и выпустить сертификат на common name вроде laravel.dev
рут CA добавить в доверенные браузера, сам сертификат + ключ закинуть в папку ./docker/nginx/ssl перезапустив контейнер.

[Сергей Бурдужа]

akelsey, Ошибочка



Я по-этому и спросил, так как мне домен не нужен.

[akelsey]

Сергей Бурдужа, а зачем использовать сертбот то? можно конечно, но нужен реальный купленный домен. и проброшенный порт 80 в интернет на ваш докер контейнер, с публичным айпи.

[Сергей Бурдужа]

akelsey,
Я просто не знаю как по-другому сделать.
У меня этот репозиторий с докером достался от пройденного курса, там такие настройки были каки в шапке.
Вот я и стараюсь решить проблему.

[Сергей Бурдужа]

akelsey, Нашел в курсе, это snakeoil сертификаты от nginx