Как установить ssl сертификат на Ubuntu + docker?

Question

[Василий Мажекин]

Есть сервер Ubuntu 18 и установлен на него docker. В докере запущены контейнеры, в которых находятся сайты на nginx. Таких контейнеров может быть произвольное количество. Куплен домен типа site.ru. Каждый сайтик контейнер проброшен на внешний порт. Сейчас они(сайты-контейнеры) смотрят в мир по ссылкам.

http://site.ru:8001
http://site.ru:8002 
http://site.ru:8003

и так далее.
У провайдера домена куплен цифровой сертификат. Есть файлы сертификата. Как его установить на сайты с минимальными усилиями?

Чтобы работало так

https://site.ru:8001
https://site.ru:8002 
https://site.ru:8003

И при поднятии контейнеров, не надо было возится и маунтить/устанавливать сертификаты заново к каждому контейнеру.

Answer 1

[Василий Мажекин]

Все разобрался, создал один прокси-контейнер nginx туда смаунтил конфиг nginx и сертификат.
Спасибо ребятам из reg.ru помогли настроить сертификат. (как оказалось это не сложно, но я забыл как)
В docker-compose создал сеть типа nginx_net.
И потом каждый новый контейнер, если мне нужно его выставить на новом порту, настраиваю не на внешний порт, а на сеть nginx_net. А внешний порт открываю в прокси-контейнере.

Таким образом, сертификат проброшен только в один контейнер, а остальные контейнеры видят только локальную сеть докера nginx_net и нет необходимости каждый контейнер настраивать на внешние порты, ssl-сертификаты, домены и т.п.

Answer 2

[Vitaly Karasik]

Есть один контейнер с тремя виртуальными сайтами? Можно прописать сертификат один раз, см. например https://www.linode.com/docs/web-servers/nginx/enab...

Offtopic: мне трудно представить ситуацию, чтобы :порт был удобнее чем subdomain или site.ru/site2

Comments

[Василий Мажекин]

Vitaly Karasik

В докере запущены контейнеры, в которых находятся сайты на nginx.

Для служебных целей порты удобнее для тестовых демонстраций временных приложений.

ЗЫ Прошу прощения, если неизвестен ответ, не надо искажать и уводить в сторону вопрос.

[Vitaly Karasik]

Что ж тут неизвестного? (сорри, действительно недочитал)
На хост машине сделать директорию (или  Docker volume) certificates, и туда скопировать сертификат и проч. релевантные для SSL файлы. При поднятии контейнеров маппировать это на /etc/nginx/ssl например.
В конфигах https://site.ru:ХХХХ использовать сертификат из /etc/nginx/ssl .

[Василий Мажекин]

Vitaly Karasik, Спасибо, за ответ, это что-то не то, с каждым контейнером возится - это долго. Может как-нибудь сверху навесить сертификаты? Чтобы при поднятии новых контейнеров не маунтить снова сертификаты.

Работа не ради работы, а ради результата

[Vitaly Karasik]

Василий Мажекин, На мой взгляд, это не возиться с каждым - ИМХО, для множества контейнеров даже без сертификатов лучше все равно использовать template, в котором 90% конфига будут одинаковы для всех контейнеров.

сверху навесить сертификаты

Можно поднять Nginx proxy на хосте, присобачить туда SSL, и использовать контейнеры как HTTP бэкенд.

[Vitaly Karasik]

Если мы в AWS, то такую SSL termination можно сделать с их лоадбалансером за пару кликов.

[Василий Мажекин]

Есть сервер Ubuntu 18 и установлен на него docker.

Answer 3

[chupasaurus]

1. Сертификат сложить на хост в директорию
   
2. Монтировать её в read-only на nginx-ах по одинаковому пути
   
3. В конфиге сайта будут одинаковые строчки до сертификата
   
4. ?????
   
5. PROFIT
   

Comments

[Василий Мажекин]

И при поднятии контейнеров, не надо было возится и маунтить/устанавливать сертификаты заново к каждому контейнеру.

[chupasaurus]

Василий Мажекин, монтирование производится один раз - при создании контейнера. Вы конфиги сайтов с содержимым не из воздуха берёте?

[Василий Мажекин]

chupasaurus, ну так себе рекомендация, это первое что приходит в голову, я хотел советов, чтобы при создании/поднятии контейнеров вообще не надо было прикручивать сертификаты. типа как-то сверху докера или контейнеров. Типа один раз прикрутил сертификат, а потом докер-контейнеры поднимаешь на внешние порты и они сразу ходят через https.

Escape the circus and live beyond the limits of the imaginary lid

[chupasaurus]

Василий Мажекин,

ну так себе рекомендация, это первое что приходит в голову

Есть всего 3 способа добавления файлов в контейнер (nginx может читать сертификаты только из файла):

1. монтировать с хоста
   
2. добавлять в свой образ - костыль без своего CI, который будет автоматически подтягивать версии образа nginx
   
3. пробрасывать через переменные среды в опять же кастомный entrypoint - мега-костылище
   

Это не первое, что приходит в голову, а единственное рабочее решение без заморочек.
Для прикручивания один раз достаточно создать шаблон для поднятия.

[Василий Мажекин]

chupasaurus, а посоветуйте это нормальное решение, например, https прокси контейнер сделать проводку на все остальные контейнеры?
как нибудь так docs.docker.com/network/proxy/#configure-the-docker-client

[chupasaurus]

Василий Мажекин, По ссылке - настройка прямых прокси для приложений внутри контейнеров, например если доступ в интернет только через них. К вопросу отношения не имеет.

[Василий Мажекин]

chupasaurus, то есть вы категорически утверждаете, что единственное рабочее решение установить сертификаты - это пробрасывать их в каждый контейнер?

«Станиславский сказал бы: не верю!».

Answer 4

[Михаил Васильев]

Одно слово - traefik.