说在前面的话:
突然接到这么一个任务,将多个域名的访问必须使用https的转发访问,其实对Niginx的使用很简单,文档也很齐全(不管是腾讯云还是阿里云),入坑的原因是对Niginx服务器的陌生和走的弯路。
1.弯路:Tomcat支持SSL
腾讯云Tomcat服务器证书配置
修改server.xml文件
<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol" SSLEnabled="true" scheme="https" secure="true" keystoreFile="conf\ssl\生产的证书名称我使用相对路径.jks" keystoreType="JKS" keystorePass="证书对应的密码" clientAuth="false" sslProtocol="TLSv1+TLSv1.1+TLSv1.2" maxThreads="150" ciphers="TLS_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256"> </Connector> <!-- Define an AJP 1.3 Connector on port 8009 --> <Connector port="8209" protocol="AJP/1.3" redirectPort="8443" secretRequired="" useBodyEncodingForURI="true" URIEncoding="UTF-8"/>
keystoreType="JKS":请注意该配置跟阿里云的不一样,记得修改
<Engine defaultHost="我的域名" name="Catalina" jvmRoute="tomcat1" URIEncoding="UTF-8"> <Cluster className="org.apache.catalina.ha.tcp.SimpleTcpCluster"/> <Realm className="org.apache.catalina.realm.LockOutRealm"> <Realm className="org.apache.catalina.realm.UserDatabaseRealm" resourceName="UserDatabase"/> </Realm> <Host name="我的域名" appBase="webapps" unpackWARs="true" autoDeploy="true"> <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" prefix="localhost_access_log" suffix=".txt" pattern="%h %l %u %t "%r" %s %b" /> </Host> </Engine>
听同事说,配置就好了,入坑的地方也是,服务器启动完毕之后443端口也被占用了,真的好坑好坑,如果不需要转发的时候,可以使用改配置。
启动nginx 不成功bind() to 0.0.0.0:443 failed (10013: An attempt was made to access a socket in a way forbidden by its access permissions
2.言归正传
2.1 需求概述
当在一个服务器(腾讯云的服务器的IP地址)部署多个服务,不同服务需要通过不同域名访问时,可以通过Nginx代理进行域名转发,同时还可以通过配置SSL模块实现https访问。(我的服务器使用window系统,如果没有SSL模块需要自行开启,默认是支持的)
在一个服务器同时部署3个服务:服务A,服务B和服务C,服务需配置以下域名:
- pangsir01.domain.com域名对应服务A;
- pangsir02.domain.com域名对应服务B;
- pangsir03.domain.com域名对应服务C;
服务通过https访问,http请求重定向至https。
2.2 服务代理设置
配置Nginx监听443端口(==我因为Tomcat的配置,在这里卡了半天,不成功==),实现域名转发和https访问,本示例使用的证书是crt格式证书
(1)服务A的配置
server { listen 443 ssl; #监听端口,Nginx1.5后推荐使用 server_name pangsir01.domain.com; #请求域名 ssl_certificate ssl/证书名称A.crt; #crt证书路径,存放位置Nginx的conf/ssl文件夹下,可以使用绝对路径 ssl_certificate_key ssl/证书名称A.key; #crt证书key路径 ssl_session_timeout 5m; #会话超时时间 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL协议 # 拦截所有请求 location / { proxy_http_version 1.1; #代理使用的http协议 proxy_set_header Host $host; #header添加请求host信息 proxy_set_header X-Real-IP $remote_addr; # header增加请求来源IP信息 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理记录 proxy_pass http://127.0.0.1:8001; #服务A访问地址 } }
(2)服务B的配置
server { listen 443 ssl; #监听端口,Nginx1.5后推荐使用 server_name pangsir02.domain.com; #请求域名 ssl_certificate ssl/证书名称B.crt; #crt证书路径,存放位置Nginx的conf/ssl文件夹下,可以使用绝对路径 ssl_certificate_key ssl/证书名称B.key; #crt证书key路径 ssl_session_timeout 5m; #会话超时时间 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL协议 # 拦截所有请求 location / { proxy_http_version 1.1; #代理使用的http协议 proxy_set_header Host $host; #header添加请求host信息 proxy_set_header X-Real-IP $remote_addr; # header增加请求来源IP信息 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理记录 proxy_pass http://127.0.0.1:8002; #服务B访问地址 } }
(3)服务C的配置
server { listen 443 ssl; #监听端口,Nginx1.5后推荐使用 server_name pangsir03.domain.com; #请求域名 ssl_certificate ssl/证书名称C.crt; #crt证书路径,存放位置Nginx的conf/ssl文件夹下,可以使用绝对路径 ssl_certificate_key ssl/证书名称C.key; #crt证书key路径 ssl_session_timeout 5m; #会话超时时间 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL协议 # 拦截所有请求 location / { proxy_http_version 1.1; #代理使用的http协议 proxy_set_header Host $host; #header添加请求host信息 proxy_set_header X-Real-IP $remote_addr; # header增加请求来源IP信息 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理记录 proxy_pass http://127.0.0.1:8003; #服务B访问地址 } }
2.3 http请求自动转发
增加server配置,监听80端口,对所有域名进行https重定向
server { listen 80; #监听端口 server_name a.domain.com b.domain.com c.domain.com; #请求域名 return 301 https://$host$request_uri; #重定向至https访问。 }
我的需求到这里就搞定了,下面的内容属于扩展内容,记录一下
3.WebSocket的SSL配置
假如服务A中使用到websocket(访问接口为:/websocket),需要将ws协议更换为wss协议,可在服务A的server配置中增加一个location配置,拦截websocket进行单独代理。
服务A的配置,修改后:
server { listen 443 ssl; #监听端口 server_name pangsir01.domain.com; #请求域名 ssl_certificate ssl/证书名称A.crt; #crt证书路径 ssl_certificate_key ssl/证书名称A.key; #crt证书key路径 ssl_session_timeout 5m; #会话超时时间 ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4; #加密算法 ssl_protocols TLSv1 TLSv1.1 TLSv1.2; #SSL协议 # 拦截所有请求 location / { proxy_http_version 1.1; #代理使用的http协议 proxy_set_header Host $host; #header添加请求host信息 proxy_set_header X-Real-IP $remote_addr; # header增加请求来源IP信息 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 增加代理记录 proxy_pass http://127.0.0.1:8001; #服务A访问地址 } # 拦截websocket请求 location /websocket { proxy_pass http://127.0.0.1:8001; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection "upgrade"; } }
更新日志
- 群星.2006-失而复得2辑【新艺宝】【WAV+CUE】
- 《张震岳6CD合集》1993-2000全套[WAV+CUE][3.1G]
- 周华健《粤语精选+国语精选》日本母带 [WAV+CUE][1.2G]
- 《陈楚生6CD合集》[WAV+CUE][2.2G]
- dnf经验胶囊快速获得
- dnf结婚地下城入场材料怎么获得
- dnf结婚戒指属性和婚房属性
- FlorianNoack-IWannaBeLikeYou(2024)【Hi-Res】24bit-96kHz【flac】
- 张国荣.1995-狂恋·国语经典【新艺宝】【WAV+CUE】
- 佛教音乐.2012-《藏传密咒精选集》[FLAC+CUE]
- 微软在Win11中加入内置广告:宣传XGP服务
- 《地狱之刃2》官方:游戏中美景都是取材于真实地点
- 对漫威太失望!叉骨叔确认加盟DC《和平使者》第2季
- 李克勤.1998-寻最这五年2CD【艺能动音】【WAV+CUE】
- 彭莉.1995-感谢你的爱【宝丽金】【WAV+CUE】