स्थानीय डॉकटर कंटेनरों के लिए मान्य एसएसएल डोमेन नाम

विकास प्रक्रिया के दौरान डॉकटर का उपयोग करना वास्तविक मानक बन गया है। केवल एक आदेश का उपयोग करके अपनी सभी निर्भरता के साथ एक एप्लिकेशन लॉन्च करना अधिक से अधिक आम होता जा रहा है। यदि एप्लिकेशन वेब-इंटरफ़ेस या कुछ HTTP एपीआई का उपयोग करके पहुंच प्रदान करता है - तो सबसे संभावित रूप से फ्रंट-लाइन कंटेनर इसके अनूठे (अन्य अनुप्रयोगों के बीच जो आप समानांतर में विकसित कर रहे हैं) मेजबान को पोर्ट करते हैं, जिस पर दस्तक देकर हम कंटेनर में आवेदन के साथ बातचीत कर सकते हैं ।

और यह तब तक ठीक काम करता है जब तक आपके पास अनुप्रयोगों का एक पूरा चिड़ियाघर न हो, जिसके बीच स्विच करना कुछ असुविधा पैदा करना शुरू कर देता है, क्योंकि आपको योजना और बंदरगाह को याद रखने की आवश्यकता होती है, और कहीं न कहीं उन बंदरगाहों को ठीक करने की आवश्यकता होती है जिनके लिए आपने एक बार आवंटित किया था, इसलिए नहीं समय के साथ टकराव पैदा हुए।

और फिर आप https पर काम की जांच भी करना चाहते हैं - और आपको या तो अपने रूट प्रमाणपत्र का उपयोग करना होगा, या हमेशा curl --insecure ... उपयोग curl --insecure ... और जब विभिन्न कमांड अनुप्रयोगों पर काम करते हैं - जोड़े की संख्या तेजी से बढ़ने लगती है।

एक बार फिर इस तरह की समस्या का सामना करना पड़ा - मेरे सिर के माध्यम से सोचा गया कि "इसे बंद करो!", और कुछ हफ़्ते में काम का परिणाम एक ऐसी सेवा थी जो कली में इस समस्या को हल करती है, जिसे नीचे वर्णित किया जाएगा। अधीर के लिए, पारंपरिक रूप से - एक संदर्भ ।

संसार हम रिवर्स प्रॉक्सी को बचाएंगे

एक अच्छे तरीके से, हमें किसी प्रकार के डोमेन ज़ोन की आवश्यकता है, सभी उप-डोमेन जिनसे लोकलहोस्ट हमेशा हल होगा (127.0.0.1)। एक त्वरित खोज ने फ़ॉर्म के डोमेन *.localho.st , *.lvh.me , *.vcap.me और अन्य को *.vcap.me किया, लेकिन उन्हें एक वैध एसएसएल प्रमाणपत्र कैसे संलग्न किया जाए? अपने रूट प्रमाणपत्र के साथ छेड़छाड़ करने के बाद, मैं त्रुटियों के बिना curl प्राप्त करने में कामयाब रहा, लेकिन सभी ब्राउज़रों ने इसे सही ढंग से स्वीकार नहीं किया, और एक त्रुटि फेंकना जारी रखा। इसके अलावा - मैं वास्तव में एसएसएल के साथ "चारों ओर गड़बड़" नहीं करना चाहता था।

"ठीक है, चलो दूसरी तरफ चलते हैं!" - और फिर localhost.tools नाम के साथ एक डोमेन खरीदा गया, जिसे क्लाउडफ़ेयर को सौंप दिया गया, आवश्यक रिज़ॉल्यूशन कॉन्फ़िगर किया गया (सभी उप-डोमेन 127.0.0.1 हल किए गए हैं):

 $ dig foo.localhost.tools | grep -v '^;\|^$' foo.localhost.tools. 190 IN A 127.0.0.1 

उसके बाद, कंटेनर में सर्टिफिकेट लॉन्च किया गया, जो DNS रिकॉर्ड का उपयोग करके CF से KEY API प्राप्त करने पर, डोमेन स्वामित्व की पुष्टि करता है, और आउटपुट पर एक मान्य SSL प्रमाणपत्र जारी करता है:

 $ docker run \ --entrypoint="" \ -v "$(pwd)/cf-config.conf:/cf-credentials:ro" \ -v "$(pwd)/cert:/out:rw" \ -v "/etc/passwd:/etc/passwd:ro" \ -v "/etc/group:/etc/group:ro" \ certbot/dns-cloudflare:latest sh -c \ "certbot certonly \ --dns-cloudflare \ --dns-cloudflare-credentials '/cf-credentials' \ -d '*.localhost.tools' \ --non-interactive \ --agree-tos \ --email '$CF_EMAIL' \ --server 'https://acme-v02.api.letsencrypt.org/directory' \ && cp -f /etc/letsencrypt/live/localhost.tools/* /out \ && chown '$(id -u):$(id -g)' /out/*" 

फ़ाइल ./cf-config.conf में अधिक विवरण के लिए CF पर प्राधिकरण डेटा होता है, सर्टिफिकेट पर प्रलेखन देखें, $CF_EMAIL - आपके ईमेल के साथ पर्यावरण चर

ठीक है, अब हमारे पास एक वैध एसएसएल प्रमाणपत्र है (यहां तक ​​कि 3 महीने के लिए, और केवल उसी स्तर के उप-डोमेन के लिए)। यह किसी भी तरह जानने के लिए रहता है कि सही कंटेनर में लोकलहोस्ट में आने वाले सभी अनुरोधों को कैसे प्रॉक्सी किया जाए।

और यहाँ ट्रेफिक हमारी सहायता के लिए आता है (स्पॉइलर - यह सुंदर है)। इसे स्थानीय रूप से लॉन्च करके और वॉल्यूम के माध्यम से अपने कंटेनर में डॉक सॉकेट को अग्रेषित करके, यह कंटेनर के लिए अनुरोधों को प्रॉक्सी कर सकता है जिसमें आवश्यक docker label । इस प्रकार, हमें कंटेनर (और डॉक नेटवर्क) के लिए वांछित लेबल को निर्दिष्ट करने के लिए शुरू करने के अलावा किसी भी अतिरिक्त कॉन्फ़िगरेशन की आवश्यकता नहीं है, लेकिन जब बिना डॉक-कंपोज़ के बिना भी शुरू करना आवश्यक नहीं है, हालांकि बहुत वांछनीय है, जिसके लिए हम चाहते हैं डोमेन नाम और मान्य एसएसएल के साथ उपयोग !

यह सब करने के बाद, प्रकाश ने इस बहुत पहले से कॉन्फ़िगर किए गए ट्राफिक और वाइल्डकार्ड एसएसएल प्रमाणपत्र के साथ एक डॉक कंटेनर देखा (हाँ, यह सार्वजनिक है)।

एक सार्वजनिक कंटेनर में एसएसएल से निजी कुंजी?

हां, लेकिन मुझे लगता है कि यह डरावना नहीं है, क्योंकि यह डोमेन ज़ोन पर है, जो हमेशा लोकलहोस्ट को हल करता है। इस मामले में मिटम सिद्धांत रूप में ज्यादा मायने नहीं रखता है।

प्रमाणपत्र खराब होने पर क्या करें?

बस कंटेनर को पुनरारंभ करके ताज़ा छवि को खींचें। परियोजना में CI कॉन्फ़िगर किया गया है, जो स्वचालित रूप से, महीने में एक बार (फिलहाल) प्रमाणपत्र को अपडेट करता है और एक ताज़ा छवि प्रकाशित करता है।

मैं इसे आज़माना चाहता हूँ!

कुछ भी आसान नहीं है। सबसे पहले, सुनिश्चित करें कि आपके स्थानीय पोर्ट 80 और 443 स्वतंत्र हैं, और करें:

 #  docker-   - $ docker network create localhost-tools-network #   - $ docker run -d --rm \ -v /var/run/docker.sock:/var/run/docker.sock \ --network localhost-tools-network \ --name localhost.tools \ -p 80:80 -p 443:443 \ tarampampam/localhost #  nginx,     "my-nginx.localhost.tools" $ docker run -d --rm \ --network localhost-tools-network \ --label "traefik.frontend.rule=Host:my-nginx.localhost.tools" \ --label "traefik.port=80" \ nginx:latest 

और अब हम परीक्षण कर सकते हैं:

 $ curl -sS http://my-nginx.localhost.tools | grep Welcome <title>Welcome to nginx!</title> <h1>Welcome to nginx!</h1> $ curl -sS https://my-nginx.localhost.tools | grep Welcome <title>Welcome to nginx!</title> <h1>Welcome to nginx!</h1> 

जैसा कि आप देख सकते हैं, यह काम करता है :)

प्रलेखन कहाँ रहता है, विवरण?

सब कुछ, यह अनुमान लगाना कठिन नहीं है, https://localhost.tools पर रहता है। इसके अलावा, थूथन उत्तरदायी है, और यह देख सकता है कि क्या रिवर्स प्रॉक्सी डेमॉन स्थानीय रूप से चल रहा है और कंटेनरों की एक सूची प्रदर्शित करता है जो चल रहे हैं और बातचीत के लिए उपलब्ध हैं (यदि कोई हो)।

कितना खर्च होता है?

बिलकुल नहीं। निश्चित रूप से। अपने और अपनी टीम के लिए यह काम करने के बाद, मुझे एहसास हुआ कि यह अन्य डेवलपर्स / ऑप्स के लिए उपयोगी हो सकता है। इसके अलावा - केवल डोमेन नाम के पैसे खर्च होते हैं, बाकी सब कुछ भुगतान की आवश्यकता के बिना उपयोग किया जाता है।

पुनश्च सेवा अभी भी बीटा में है, इसलिए - यदि कोई कमी, टाइपो, आदि पाए जाते हैं - पीएम में सिर्फ हाथापाई । हब "प्रोग्रामिंग" और "वेबसाइट डेवलपमेंट" इंगित किए जाते हैं क्योंकि यह दृष्टिकोण मुख्य रूप से इन उद्योगों में उपयोगी हो सकता है।