Ответ 1
Первое, что я сделал, это создать простое изображение докеры на основе экспресс-поддержки.
Я использую следующий app.js, взятый из выражения привет мирского примера в своих документах:
var express = require('express');
var app = express();
app.get('/', function (req, res) {
res.send('Hello World!');
});
app.listen(3000, function () {
console.log('Example app listening on port 3000!');
});
У меня также появился следующий packages.json файл после запуска их npm init в том же документе:
{
"name": "exampleexpress",
"version": "1.0.0",
"description": "",
"main": "app.js",
"scripts": {
"test": "echo \"Error: no test specified\" && exit 1"
},
"author": "",
"license": "ISC",
"dependencies": {
"express": "^4.14.0"
}
}
Я создал следующий файл Docker:
FROM node:onbuild
EXPOSE 3000
CMD node app.js
Здесь вывод, когда я делаю мой шаг docker build. Я удалил большую часть вывода npm install для краткости:
$ docker build -t exampleexpress .
Sending build context to Docker daemon 1.262 MB
Step 1 : FROM node:onbuild
# Executing 3 build triggers...
Step 1 : COPY package.json /usr/src/app/
Step 1 : RUN npm install
---> Running in 981ca7cb7256
npm info it worked if it ends with ok
<snip>
npm info ok
Step 1 : COPY . /usr/src/app
---> cf82ea76e369
Removing intermediate container ccd3f79f8de3
Removing intermediate container 391d27f33348
Removing intermediate container 1c4feaccd08e
Step 2 : EXPOSE 3000
---> Running in 408ac1c8bbd8
---> c65c7e1bdb94
Removing intermediate container 408ac1c8bbd8
Step 3 : CMD node app.js
---> Running in f882a3a126b0
---> 5f0f03885df0
Removing intermediate container f882a3a126b0
Successfully built 5f0f03885df0
Запуск этого изображения работает следующим образом:
$ docker run -d --name helloworld -p 3000:3000 exampleexpress
$ curl 127.0.0.1:3000
Hello World!
Мы можем очистить это, выполнив: docker rm -f helloworld
Теперь у меня есть мой самый простой экспресс-сайт, работающий в контейнере Docker, но у него пока нет настройки TLS. Еще раз взглянув на документы expressjs, наилучшая практика безопасности при использовании TLS - это использовать nginx.
Поскольку я хочу ввести новый компонент (nginx), я сделаю это со вторым контейнером.
Так как nginx потребуется несколько сертификатов для работы, отпустите и создайте те, у которых есть клиент letencrypt. Документы letencrypt о том, как использовать letencrypt в Docker, можно найти здесь: http://letsencrypt.readthedocs.io/en/latest/using.html#running-with-docker
Выполните следующие команды для генерации исходных сертификатов. Вам нужно будет запустить это в системе, которая подключена к общедоступному Интернету, и имеет порт 80/443, доступный с серверов letencrypt. Вам также нужно будет настроить DNS-имя и указать на поле, в котором вы его запускаете:
export LETSENCRYPT_EMAIL=<youremailaddress>
export DNSNAME=www.example.com
docker run --rm \
-p 443:443 -p 80:80 --name letsencrypt \
-v "/etc/letsencrypt:/etc/letsencrypt" \
-v "/var/lib/letsencrypt:/var/lib/letsencrypt" \
quay.io/letsencrypt/letsencrypt:latest \
certonly -n -m $LETSENCRYPT_EMAIL -d $DNSNAME --standalone --agree-tos
Обязательно замените значения для LETSENCRYPT_EMAIL и DNSNAME. Адрес электронной почты используется для уведомлений об истечении срока действия.
Теперь настройте сервер nginx, который будет использовать этот вновь созданный сертификат. Во-первых, нам понадобится файл конфигурации nginx, который настроен для TLS:
user nginx;
worker_processes 1;
error_log /var/log/nginx/error.log warn;
pid /var/run/nginx.pid;
events {
worker_connections 1024;
}
http {
include /etc/nginx/mime.types;
default_type application/octet-stream;
log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';
access_log /dev/stdout main;
sendfile on;
keepalive_timeout 65;
server {
listen 80;
server_name _;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl;
#add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
server_name www.example.com;
ssl_certificate /etc/letsencrypt/live/www.example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/www.example.com/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers HIGH:!aNULL:!MD5;
location ^~ /.well-known/ {
root /usr/share/nginx/html;
allow all;
}
location / {
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_pass http://expresshelloworld:3000;
}
}
}
Мы можем поместить этот файл конфигурации в наше собственное пользовательское изображение nginx со следующим файлом Docker:
FROM nginx:alpine
COPY nginx.conf /etc/nginx/nginx.conf
Это можно построить с помощью следующей команды: docker build -t expressnginx .
Затем мы создадим настраиваемую сеть, чтобы воспользоваться функцией обнаружения сервисов Docker:
docker network create -d bridge expressnet
Теперь мы можем запустить контейнеры helloworld и nginx:
docker run -d \
--name expresshelloworld --net expressnet exampleexpress
docker run -d -p 80:80 -p 443:443 \
--name expressnginx --net expressnet \
-v /etc/letsencrypt:/etc/letsencrypt \
-v /usr/share/nginx/html:/usr/share/nginx/html \
expressnginx
Двойная проверка, что nginx подошел правильно, взглянув на вывод docker logs expressnginx.
Файл конфигурации nginx должен перенаправить любые запросы на порт 80 на порт 443. Мы можем проверить это, выполнив следующее:
curl -v http://www.example.com/
Мы также должны в этот момент сделать успешное соединение TLS и увидеть наш ответ Hello World! назад:
curl -v https://www.example.com/
Теперь, чтобы настроить процесс обновления. В приведенном выше nginx.conf содержатся положения, позволяющие пропустить известный путь для метода проверки webroot. Если вы выполните следующую команду, она будет обрабатывать обновление. Обычно вы запускаете эту команду на каком-то cron, чтобы ваши сертификаты были продлены до истечения срока действия:
export [email protected]
export DNSNAME=www.example.com
docker run --rm --name letsencrypt \
-v "/etc/letsencrypt:/etc/letsencrypt" \
-v "/var/lib/letsencrypt:/var/lib/letsencrypt" \
-v "/usr/share/nginx/html:/usr/share/nginx/html" \
quay.io/letsencrypt/letsencrypt:latest \
certonly -n --webroot -w /usr/share/nginx/html -d $DNSNAME --agree-tos