Reverse Proxy، TLS و Cloudflare

این Runbook Domain محیط Development را بدون انتشار مستقیم Port داخلی API به Reverse Proxy و TLS متصل می‌کند.

مخاطب: DevOps/SRE مالک Nginx و DNS.

شرط توقف: ACME Preflight، صدور Certificate یا nginx -t ناموفق باشد.

۷. تنظیم Reverse Proxy

Container API با Alias پایدار زیر به شبکه خارجی Reverse Proxy متصل می‌شود:

tripylon-api:8080

به IP متغیر Container Proxy نکنید و Port 8080 را روی Host منتشر نکنید.

در VPS فعلی، Reverse Proxy همان Container با نام dong-nginx-1 است. تنظیمات Host در /opt/applications/dong/nginx/conf.d، Certificateها در Volume dong_letsencrypt و ACME Webroot در dong_certbot_webroot نگه‌داری می‌شوند.

پیش از صدور Certificate، Webroot را بررسی کنید:

sudo install -d -m 0755 /var/lib/docker/volumes/dong_certbot_webroot/_data/.well-known/acme-challenge
printf '%s\n' 'tripylon-acme-ok' | sudo tee /var/lib/docker/volumes/dong_certbot_webroot/_data/.well-known/acme-challenge/tripylon-preflight >/dev/null
curl --fail --show-error http://api.iranihosts.com/.well-known/acme-challenge/tripylon-preflight

پس از پاسخ tripylon-acme-ok، Certificate را با Certbot Pinشده صادر کنید:

cd /opt/applications/dong
read -r -p 'Certbot email: ' TRIPYLON_CERTBOT_EMAIL
export CERTBOT_IMAGE=certbot/certbot:v5.6.0
docker compose --env-file .env.docker --profile tls run --rm certbot certonly -n --webroot -w /var/www/certbot -d api.iranihosts.com -m "$TRIPYLON_CERTBOT_EMAIL" --cert-name api.iranihosts.com --agree-tos
docker exec dong-nginx-1 test -f /etc/letsencrypt/live/api.iranihosts.com/fullchain.pem

Nginx را با Resolver داخلی Docker تنظیم کنید:

server {
    listen 80;
    listen [::]:80;
    server_name api.iranihosts.com;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/certbot;
        default_type text/plain;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name api.iranihosts.com;

    ssl_certificate /etc/letsencrypt/live/api.iranihosts.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.iranihosts.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    server_tokens off;
    client_max_body_size 256k;

    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location / {
        resolver 127.0.0.11 valid=30s ipv6=off;
        set $tripylon_upstream tripylon-api:8080;

        proxy_pass http://$tripylon_upstream;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto https;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Port 443;
        proxy_set_header X-Request-ID $request_id;
        proxy_hide_header X-Powered-By;

        proxy_connect_timeout 10s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
    }
}

ابتدا docker exec dong-nginx-1 nginx -t و فقط در موفقیت آن docker exec dong-nginx-1 nginx -s reload را اجرا کنید. صدور یا تمدید Certificate نباید Containerهای دیگر Stack را Restart کند.

۸. تنظیم Cloudflare

رکورد A مربوط به api.iranihosts.com به 143.14.59.7 اشاره می‌کند. ابتدا TLS مبدا را مستقیم تست کنید، سپس:

1. رکورد api را از DNS only به Proxied تغییر دهید.
2. SSL/TLS را روی Full (strict) قرار دهید.
3. فقط Portهای 80 و 443 عمومی باشند؛ PostgreSQL و 8080 بسته بمانند.
4. /health، /livez، /readyz، Authentication و پاسخ API Cache نشوند.
5. HSTS فقط پس از تایید کامل HTTPS فعال شود.

حالت Flexible مجاز نیست، چون ارتباط Cloudflare تا Origin را بدون TLS نگه می‌دارد.

مرحله قبل: GitHub Access | مرحله بعد: Deploy و Rollback