DNS، Reverse Proxy و TLS

فرانت‌اند با Alias پایدار tripylon-web:3000 به Nginx موجود متصل می‌شود. IP متغیر Container و Port Host استفاده نمی‌شود.

مخاطب: DevOps/SRE مالک DNS و Nginx.

شرط توقف: Preflight، Certificate یا nginx -t ناموفق باشد.

۷. ساخت DNS

در Cloudflare یک رکورد A بسازید:

Name: ui
IPv4: 143.14.59.7
Proxy status: DNS only
TTL: Auto

ابتدا رکورد باید DNS only باشد تا ACME Challenge مستقیم به Origin برسد.

۸. تنظیم HTTP برای ACME

روی VPS فایل جدا بسازید:

sudo nano /opt/applications/dong/nginx/conf.d/tripylon-ui.conf

محتوای مرحله اول:

server {
    listen 80;
    listen [::]:80;
    server_name ui.iranihosts.com;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/certbot;
        default_type text/plain;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

Syntax را پیش از Reload بررسی کنید:

docker exec dong-nginx-1 nginx -t
docker exec dong-nginx-1 nginx -s reload
sudo install -d -m 0755 /var/lib/docker/volumes/dong_certbot_webroot/_data/.well-known/acme-challenge
printf '%s\n' 'tripylon-ui-acme-ok' | sudo tee /var/lib/docker/volumes/dong_certbot_webroot/_data/.well-known/acme-challenge/tripylon-ui-preflight >/dev/null
curl --fail --show-error http://ui.iranihosts.com/.well-known/acme-challenge/tripylon-ui-preflight

nginx -t تغییر نامعتبر را قبل از Reload متوقف می‌کند. پاسخ آخر باید دقیقا tripylon-ui-acme-ok باشد.

۹. صدور Certificate

cd /opt/applications/dong
read -r -p 'Certbot email: ' TRIPYLON_CERTBOT_EMAIL
export CERTBOT_IMAGE=certbot/certbot:v5.6.0
docker compose --env-file .env.docker --profile tls run --rm certbot certonly -n --webroot -w /var/www/certbot -d ui.iranihosts.com -m "$TRIPYLON_CERTBOT_EMAIL" --cert-name ui.iranihosts.com --agree-tos
docker exec dong-nginx-1 test -f /etc/letsencrypt/live/ui.iranihosts.com/fullchain.pem
unset TRIPYLON_CERTBOT_EMAIL

گزینه -w باید یک بخش و مسیر آن دقیقا /var/www/certbot باشد. شکستن این مسیر در دو خط باعث 404 Challenge می‌شود.

۱۰. تنظیم HTTPS و Upstream

فایل tripylon-ui.conf را دوباره باز و با تنظیم کامل جایگزین کنید:

server {
    listen 80;
    listen [::]:80;
    server_name ui.iranihosts.com;

    location ^~ /.well-known/acme-challenge/ {
        root /var/www/certbot;
        default_type text/plain;
    }

    location / { return 301 https://$host$request_uri; }
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    server_name ui.iranihosts.com;

    ssl_certificate /etc/letsencrypt/live/ui.iranihosts.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/ui.iranihosts.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:10m;
    ssl_session_tickets off;

    server_tokens off;
    client_max_body_size 256k;

    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location / {
        resolver 127.0.0.11 valid=30s ipv6=off;
        set $tripylon_frontend_upstream tripylon-web:3000;
        proxy_pass http://$tripylon_frontend_upstream;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto https;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Port 443;
        proxy_set_header X-Request-ID $request_id;
        proxy_connect_timeout 10s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
        proxy_buffering off;
    }
}

docker exec dong-nginx-1 nginx -t
docker exec dong-nginx-1 nginx -s reload

پس از تایید مستقیم HTTPS، رکورد Cloudflare را Proxied و SSL/TLS را Full (strict) کنید. Cache برای HTML خصوصی و /api/* غیرفعال و Cache طولانی فقط برای /_next/static/* مجاز است.

مرحله قبل: GitHub | مرحله بعد: Deploy