Как правильно настроить nginx + ssl в докер?

Question

[evgenin]

version: "3.9"
networks:
  opencart-network:
services:
  webserver:
    build:
      context: .
      dockerfile: ./docker/welcomepage/Dockerfile
      args:
        - DOMAIN_NAME=${DOMAIN_NAME:-domain.com}
        - DOMAIN_EMAIL=${DOMAIN_EMAIL:[e-mail]}
    ports:
      - "80:80"
      - "443:443"
    networks:
      - backend-network
    volumes:
      - ./certbot/www/:/var/www/certbot/:ro
  certbot:
    image: certbot/certbot
    restart: unless-stopped
    volumes:
      - ./certbot/www/:/var/www/certbot/:rw
      - ./certbot/conf/:/etc/letsencrypt/:rw
    entrypoint: "/bin/sh -c 'trap exit TERM; while :; do certbot certonly --webroot --webroot-path=/var/www/certbot --email ${DOMAIN_EMAIL} --agree-tos --no-eff-email -d ${DOMAIN_NAME}; sleep 12h & wait $${!}; done;'"
    networks:
      - backend-network

Nginx conf

server {
    listen 80;
    server_name ${DOMAIN_NAME};

    root /var/www/html;
    index index.html;

    charset utf-8;

    location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }
    # Redirect from 80 to 443
    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    listen 443 default_server ssl;

    server_name ${DOMAIN_NAME};

    root /var/www/html;
    index index.html;

    charset utf-8;

    ssl_certificate /etc/letsencrypt/ssl/live/${DOMAIN_NAME}/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/ssl/live/${DOMAIN_NAME}/privkey.pem;
    
    location ~ /\.(?!well-known).* {
        deny all;
    }

}

Выполняю команду:

docker-compose run --rm certbot certonly --webroot --webroot-path /var/www/certbot/ -d domain.com

Основная загвоздка, это вначале нужно обратиться к 80 порту от certbot, чтобы он выдал сертификаты, и потом их установить и перезаписать настройки nginx, как это правильно сделать?

Comments

[сергей кузьмин]

это вы сами такую архитектуру - "генерация сертификата по требовнию" придумали или прочитали где ? вначале нужно обратиться к 80 порту от certbot, чтобы он выдал сертификаты, и потом вот тут поподробнее что вы там придумали .

[Valentin Barbolin]

listen 443 default_server #ssl; - не запустится без сертификата, выключи ssl и ssl_certificate и ssl_certificate_key. Запусти контейнеры, запроси сертификат, а потом уже включай ssl. Продление сертификата уже будет проходить без бубна.

У тебя еще должен быть доступен сертификат в контейнере nginx поэтому подмонтируй к нему /etc/letsencrypt

Из за таких танцев с бубном а предпочитаю traefik

[evgenin]

Valentin Barbolin, спасибо, нашел решение в виде подстановки временного самописного сертификата, чтобы nginx не ругался и потом сверху прописать через certbot. Потом мне нужно было через поддомены прописывать, просто выписал wildcart один раз и для всех поддоменов подставил.

[evgenin]

По поводу traefik, надо изучать что это, на сложном там написано)