Différences

Ci-dessous, les différences entre deux révisions de la page.

--- admin:procedures:ajout-host-reverse-proxy-nginx [2017/07/12 09:33] – créée fpoulain
+++ admin:procedures:ajout-host-reverse-proxy-nginx [2017/07/12 09:49] – fpoulain
@@ Ligne 2: / Ligne 2: @@
 On suppose l'ajout d'un host répondant au fqdn ''bling.chapril.org''.
+Les manipulations sont à faire sur le [[admin:machines_virtuelles:bastion|bastion]].
 ===== Prérequis =====
   * Avoir un enregistrement DNS qui résoud ''bling.chapril.org'' vers ''fip.chapril.org'' depuis l'extérieur. Typiquement un ''bling  CNAME   fip''. Si ce n'est pas fait, voir ici : [[admin:procedures:ajout-record-dns|Ajout d'un enregistrement à la zone DNS]].
+===== Création de l'host =====
+Définir le fichier suivant :
+<code C /etc/nginx/sites-available/bling.chapril.org>
+server {
+    listen 80;
+    listen [::]:80;
+    server_name bling.chapril.org;
+    access_log /var/log/nginx/bling.chapril.org/bling.chapril.org.access_log;
+    error_log /var/log/nginx/bling.chapril.org/bling.chapril.org.error_log;
+    include /etc/nginx/acme-challenge;
+}
+</code>
+et créer le dossier de logs :
+  mkdir /var/log/nginx/bling.chapril.org/
+On active la configuration via un lien symbolique :
+  ln -sf /etc/nginx/sites-available/bling.chapril.org /etc/nginx/sites-enabled/bling.chapril.org
+On teste la conf nginx :
+  # nginx -t
+  nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
+  nginx: configuration file /etc/nginx/nginx.conf test is successful
+On recharge nginx :
+  systemctl reload nginx
+===== Obtention d'un certificat TLS =====
+On ajoute dans /etc/dehydrated/domains.txt :
+<code conf /etc/dehydrated/domains.txt>
+bling.chapril.org
+</code>
+Puis on exécute dehydrated, notre client letsencrypt :
+  dehydrated -c
+Le couple clé/certificat obtenu est dans /var/lib/dehydrated/certs/bling.chapril.org
+===== Déploiement de l'host avec TLS =====
+On ajoute une redirection systématique à la fin de la section server de la définition de l'hote dans nginx :
+<code C /etc/nginx/sites-available/bling.chapril.org>
+    include /etc/nginx/acme-challenge;
+    rewrite ^(.*)$ https://$host$request_uri permanent;
+}
+</code>
+Puis on définit une seconde section server écoutant sur le port 443 :
+<code C /etc/nginx/sites-available/bling.chapril.org>
+server {
+    listen 443 ssl;
+    listen [::]:443 ssl;
+    server_name bling.chapril.org;
+    access_log /var/log/nginx/bling.chapril.org/bling.chapril.org.access_log;
+    error_log /var/log/nginx/bling.chapril.org/bling.chapril.org.error_log;
+    ssl_certificate     /var/lib/dehydrated/certs/bling.chapril.org/fullchain.pem;
+    ssl_certificate_key /var/lib/dehydrated/certs/bling.chapril.org/privkey.pem;
+    location / {
+        # remplacer par le nom de la machine qui héberge le service :
+        proxy_pass http://bling;
+        proxy_set_header Host $host;
+        proxy_set_header Proxy "";
+    }
+}
+</code>
+On teste la conf nginx :
+  # nginx -t
+  nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
+  nginx: configuration file /etc/nginx/nginx.conf test is successful
+On recharge nginx :
+  systemctl reload nginx