NGINX để đảo ngược websockets proxy và kích hoạt SSL (wss: //)?

Tôi rất lạc lõng và mới tự mình xây dựng NGINX nhưng tôi muốn có thể kích hoạt các websockets an toàn mà không cần thêm một lớp.

Tôi không muốn bật SSL trên máy chủ websocket mà thay vào đó tôi muốn sử dụng NGINX để thêm một lớp SSL vào toàn bộ.

Mỗi trang web trên mạng nói rằng tôi không thể làm điều đó, nhưng tôi biết tôi có thể! Nhờ ai (bản thân) có thể chỉ cho tôi cách!

Chỉ cần lưu ý rằng nginx hiện đã hỗ trợ cho Websockets trên phiên bản 1.3.13. Ví dụ sử dụng:

location /websocket/ {

    proxy_pass ​http://backend_host;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_read_timeout 86400;

}

Bạn cũng có thể kiểm tra thay đổi nginx và tài liệu ủy quyền WebSocket .

Đừng sợ, bởi vì một nhóm lập trình viên Ops dũng cảm đã giải quyết tình huống bằng một thương hiệu mới nginx_tcp_proxy_module

Được viết vào tháng 8 năm 2012, vì vậy nếu bạn đến từ tương lai, bạn nên làm bài tập về nhà.

Điều kiện tiên quyết

Giả sử bạn đang sử dụng CentOS:

• Xóa phiên bản NGINX hiện tại (đề xuất sử dụng máy chủ dev cho việc này)
• Nếu có thể, hãy lưu các tệp cấu hình NGINX cũ của bạn để bạn có thể sử dụng lại chúng (bao gồm init.d/nginxtập lệnh của bạn )
• yum install pcre pcre-devel openssl openssl-devel và bất kỳ libs cần thiết nào khác để xây dựng NGINX
• Nhận nginx_tcp_proxy_module từ GitHub tại đây https://github.com/yaoweibin/nginx_tcp_proxy_module và nhớ thư mục nơi bạn đặt nó (đảm bảo rằng nó không bị nén)

Xây dựng NGINX mới của bạn

Một lần nữa, giả sử CentOS:

• cd /usr/local/
• wget 'http://nginx.org/download/nginx-1.2.1.tar.gz'
• tar -xzvf nginx-1.2.1.tar.gz
• cd nginx-1.2.1/
• patch -p1 < /path/to/nginx_tcp_proxy_module/tcp.patch
• ./configure --add-module=/path/to/nginx_tcp_proxy_module --with-http_ssl_module (bạn có thể thêm nhiều mô-đun nếu bạn cần chúng)
• make
• make install

Không bắt buộc:

• sudo /sbin/chkconfig nginx on

Thiết lập Nginx

Hãy nhớ sao chép các tập tin cấu hình cũ trước nếu bạn muốn sử dụng lại chúng.

Quan trọng: bạn sẽ cần tạo một lệnh tcp {}ở mức cao nhất trong conf của bạn. Hãy chắc chắn rằng nó không nằm trong http {}chỉ thị của bạn .

Cấu hình ví dụ dưới đây cho thấy một máy chủ websocket ngược dòng duy nhất và hai proxy cho cả SSL và Non-SSL.

tcp {
    upstream websockets {
        ## webbit websocket server in background
        server 127.0.0.1:5501;
        
        ## server 127.0.0.1:5502; ## add another server if you like!

        check interval=3000 rise=2 fall=5 timeout=1000;
    }   

    server {
        server_name _;
        listen 7070;

        timeout 43200000;
        websocket_connect_timeout 43200000;
        proxy_connect_timeout 43200000;

        so_keepalive on;
        tcp_nodelay on;

        websocket_pass websockets;
        websocket_buffer 1k;
    }

    server {
        server_name _;
        listen 7080;

        ssl on;
        ssl_certificate      /path/to/cert.pem;
        ssl_certificate_key  /path/to/key.key;

        timeout 43200000;
        websocket_connect_timeout 43200000;
        proxy_connect_timeout 43200000;

        so_keepalive on;
        tcp_nodelay on;

        websocket_pass websockets;
        websocket_buffer 1k;
    }
}

Điều này làm việc cho tôi:

location / {
    # redirect all HTTP traffic to localhost:8080
    proxy_pass http://localhost:8080;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    # WebSocket support
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
}

- mượn từ: https://github.com/nicokaiser/nginx-websocket-proxy/blob/df67cd92f71bfcb513b343beaa89cb33ab09fb05/simple-wss.conf

cho .net core 2.0 Nginx với SSL

location / {
    # redirect all HTTP traffic to localhost:8080
    proxy_pass http://localhost:8080;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

    # WebSocket support
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection $http_connection;
}

Điều này làm việc cho tôi

Đối với tôi, nó đi xuống proxy_passcài đặt vị trí. Tôi cần thay đổi sang sử dụng giao thức HTTPS và có chứng chỉ SSL hợp lệ được thiết lập ở phía máy chủ nút. Theo cách đó, khi tôi giới thiệu một máy chủ nút bên ngoài, tôi chỉ phải thay đổi IP và mọi thứ khác vẫn giữ nguyên cấu hình.

Tôi hy vọng điều này sẽ giúp ai đó trên đường đi ... Tôi đã nhìn chằm chằm vào vấn đề suốt ... thở dài ...

map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}
upstream nodeserver {
        server 127.0.0.1:8080;
}
server {
        listen 443 default_server ssl http2;
        listen [::]:443 default_server ssl http2 ipv6only=on;
        server_name mysite.com;
        ssl_certificate ssl/site.crt;
        ssl_certificate_key ssl/site.key;
        location /websocket { #replace /websocket with the path required by your application
                proxy_pass https://nodeserver;
                proxy_set_header Upgrade $http_upgrade;
                proxy_set_header Connection $connection_upgrade;
                proxy_http_version 1.1;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $http_host;
                proxy_intercept_errors on;
                proxy_redirect off;
                proxy_cache_bypass $http_upgrade;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-NginX-Proxy true;
                proxy_ssl_session_reuse off;
            }
}

Một bài viết hay, súc tích của Pankaj Malhotra thảo luận về cách làm điều này với NGINX và có sẵn ở đây .

Cấu hình NGINX cơ bản được sao chép dưới đây:

map $http_upgrade $connection_upgrade {
    default upgrade;
    '' close;
}

upstream appserver {
    server 192.168.100.10:9222; # appserver_ip:ws_port
}

server {
    listen 8888; // client_wss_port

    ssl on;
    ssl_certificate /path/to/crt;
    ssl_certificate_key /path/to/key;


    location / {
        proxy_pass http://appserver;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
    }
}

Sử dụng nginx / 1.14.0

Tôi có một máy chủ websocket chạy trên cổng 8097 và người dùng kết nối từ đến wss trên cổng 8098, nginx chỉ giải mã nội dung và chuyển tiếp đến máy chủ websocket

Vì vậy, tôi có tập tin cấu hình này (trong trường hợp của tôi /etc/nginx/conf.d/default.conf)

server {
    listen   8098;
        ssl on;
        ssl_certificate      /etc/ssl/certs/combined.pem;
        ssl_certificate_key  /root/domain.key;
    location / {

        proxy_pass http://hostname:8097;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_read_timeout 86400;

    }
}