Как настроить nginx reverse proxy для работы с nginx Битрикс с ssl на letsencrypt?

Question

[Андрей Кораблин]

Имеется nginx как reverse proxy с белым IP.
Имеется битрикс внутри сети (последней версии). На битриксе настроен letsencrypt.
Как настроить nginx с reverse proxy для редиректа на битрикс с ssl?

Answer 1

[Андрей Кораблин]

Для тех, кто столкнется с такой же проблемой:
server {
listen 80;
return 301 https://$host$request_uri;
}

server {

listen 443;
server_name домен;

ssl_certificate /etc/nginx/{fullchain.pem};
ssl_certificate_key /etc/nginx/{privkey.pem};

ssl on;
ssl_session_cache builtin:1000 shared:SSL:10m;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;
ssl_prefer_server_ciphers on;

access_log /var/log/nginx/access.log;

location / {

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_pass http://внутренний_ip:port;
proxy_read_timeout 90;

proxy_redirect http://внутренний_ip:port https://домен;
}
}
Если используется связка с let's encrypt - то придется вручную копировать сертификаты на nginx reverse proxy

Comments

[Андрей Михалёв]

короче гуглить надо было?!

[Андрей Кораблин]

Андрей Михалёв: Короче, надо было кэши чистить!

[Андрей Михалёв]

Андрей Кораблин: кэш чистить это вообще святое =)

Answer 2

[luxter]

Столкнулся с похожей проблемой, но сертификат был на внешнем nginx:

Nginx proxy:

server {
        server_name domain.ru;
        ssl on;
        ssl_certificate ...
        ssl_certificate_key ...
        ssl_ciphers EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH;
        ssl_prefer_server_ciphers on;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;


        listen 443 ssl;

location / {
                proxy_pass http://10.16.0.33:80;
                proxy_redirect http://10.16.0.33:80 /;
                proxy_set_header Host $host:443;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header X-Forwarded-Proto $scheme;
                proxy_set_header HTTPS YES;

        }
}

Вируталка bitrix - /etc/nginx/bx/site_avaliable/bx_ext_domain.ru.conf::

Было: proxy_set_header      Host $host:80;
Стало: proxy_set_header      Host $host;

Все остальное дефолтное.

Comments

[luxter]

Плюс если возникает проблема с подстановкой портов в URL вида https://site.com:80, то в dbconn добавить код:

if (($pos = strpos($_SERVER['HTTP_HOST'], ':')) !== false)
{
$HTTP_HOST = $_SERVER['HTTP_HOST'] = substr($_SERVER['HTTP_HOST'],0,$pos);
}

$_SERVER["HTTPS"] = "On";
$_SERVER['SERVER_PORT'] = 443;

[KoystrubVS]

The Lost, Привет! Большое спасибо за гайд! Подскажи пожалуйста. Все настроил, рубит. Но валятся ошибки 404 ajax

[luxter]

KoystrubVS, конфигурацию в студию

[KoystrubVS]

The Lost, все разобрался. Неверный конфиг для php был в панели настроен. Файлы php сервак искал на основном хосте вместо проксируемого

[KoystrubVS]

The Lost, подскажи пожалуйста ещё. С почтой не было проблем? Сейчас при smtp.mail.ru сервак ложится. На форме у парня была точно такая же проблема. Но решение он не написал

Answer 3

[Валерий Зимнев]

в виртуальном хосте

server {
    listen 80;
    listen [::]:80;
    server_name домен;
    return 301 https://$server_name$request_uri;
}

так?

Comments

[Андрей Кораблин]

server {
server_name domain.ru;
listen 80;
return 301 https://$server_name$request_uri;
location / {
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_redirect off;
proxy_pass https://внутренний_ip;
}
}

не работает!

[Валерий Зимнев]

Андрей Кораблин: да не, то, что я написал — это редирект на https всего лишь. Все, что вы добавили в location / нужно вставлять в другое место.

https://www.digitalocean.com/community/tutorials/h...

Попробуйте не обращать внимание на jenkins и глянуть на конфиг под заголовком Edit the Configuration

[Андрей Кораблин]

Валерий Зимнев: Делал так. Там необходимо указывать сертификат, но сертификаты на другом сервере.

[ТыжСисАдмин]

Андрей Кораблин: никак. Выносите серты на проксик