Установка и настройка Nginx reverse proxy, web сервер на на CentOS 8

После установки на сервер CentOS 8 (Minimal) (x86_64) 2Gb RAM, 4 CPU, 16Gb SSD, приступаем к подготовке сервера.

Подготовка сервера

Обновляем CentOS 8:

dnf update -y

Устанавливаем репозиторий EPEL и дополнительные пакеты для загрузки и распаковки:

dnf install epel-release wget nano mc open-vm-tools dnf-utils net-tools -y

Настройка времени

Устанавливаем корректный часовой пояс:

\cp /usr/share/zoneinfo/Europe/Moscow /etc/localtime

* данной командой мы установим часовой пояс по московскому времени.

Теперь устанавливаем и запускаем службу для автоматической синхронизации времени:

dnf install chrony -y
systemctl enable chronyd
systemctl start chronyd

Безопасность

Если на сервере используется SELinux (по умолчанию, на системах RPM), рекомендуется ее отключить.

sed -i "s/SELINUX=enforcing/SELINUX=disabled/" /etc/selinux/config
setenforce 0

* первая команда редактирует конфигурационный файл, чтобы SELinux не запускался автоматически, вторая — отключает его разово.

Брандмауэр

Для нормальной работы proxy сервера нужно открыть порты:

• 80 — основной порт (http).
• 443 — SSL порт (https).

firewall-cmd --permanent --add-port={80,443}/tcp
firewall-cmd --reload

* Команда (firewall-cmd --reload) перезапускает firewalld, чтобы применить новые правила.

Установка NGINX

Для установки самой свежей стабильной версии nginx создаем конфиг:

nano /etc/yum.repos.d/nginx.repo

Есть 2 версии nginx. Stable version (Стабильная) и Mainline version (Основная). Основная версия — это последняя версия nginx с новыми функционалом. Стабильная версия — это версия, которая нацелена на стабильность и безопасность. Новый функционал не добавляется.

[nginx-stable]
name=nginx stable repo
baseurl=http://nginx.org/packages/centos/8/$basearch/
gpgcheck=1
enabled=1
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true

[nginx-mainline]
name=nginx mainline repo
baseurl=http://nginx.org/packages/mainline/centos/8/$basearch/
gpgcheck=1
enabled=0
gpgkey=https://nginx.org/keys/nginx_signing.key
module_hotfixes=true

Можно прописать в файл все два репозитория. Если нужна стабильная версия, тогда ее нужно указать программе dnf, что бы она использовала репозиторий стабильной версии.

dnf config-manager --set-enabled nginx-stable

Устанавливаем NGINX:

dnf install nginx -y

Внесем небольшую корректировку в файл nginx.conf:

nano /etc/nginx/nginx.conf

http {
    ...
    server_names_hash_bucket_size 64;
    ....
}

* на практике, может встретиться ошибка could not build server_names_hash, you should increase server_names_hash_bucket_size: 32. Она возникает при большом количестве виртуальных серверов или если один из них будет иметь длинное название. Данная строка в конфиге исправит ситуацию.

Разрешаем автозапуск сервиса и запустим его:

systemctl enable nginx
systemctl start nginx

Проверим, что веб-сервер работает. Для этого открываем браузер на другом компьютере, который находится в одной сети и вводим в адресной строке IP-адрес сервера. В итоге мы должны увидеть заголовок «Welcome to nginx!»:

• обратите внимание, что данное приветствие может иметь и другой вид.

Редактируем rонфиг:

nano /etc/nginx/conf.d/default.conf

Пример моей настройки.

map $scheme $port { default 80; http 80; https 443; }

server {
    listen 80;
    server_name wiki.putyato.ru;
    # enforce https
    return 301 https://$server_name$request_uri;
    }

server {
    listen 443 ssl;
    # SSL config
    ssl_certificate /etc/letsencrypt/live/wiki.putyato.ru/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/wiki.putyato.ru/privkey.pem;
    server_name wiki.putyato.ru;
    set $upstream 10.1.1.5;
    access_log /var/log/nginx/wiki.putyato.ru-access.log;
    error_log /var/log/nginx/wiki.putyato.ru-error.log;
    set_real_ip_from 34.238.98.137;
    real_ip_header X-Real-IP;

    location / {
    proxy_pass_header Authorization;
    proxy_pass https://$upstream;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_http_version 1.1;
    proxy_set_header Connection "";
    proxy_buffering off;
    client_max_body_size 0;
    proxy_read_timeout 36000s;
    proxy_redirect off;
    proxy_ssl_session_reuse off;
    }
}

#----------------------------------------------------------------------------

server {
    listen  80;
    server_name www.putyato.ru putyato.ru;
    access_log /var/log/nginx/www.putyato.ru-access.log;
    error_log /var/log/nginx/www.putyato.ru-error.log;
    set_real_ip_from 34.238.98.137;
    real_ip_header X-Real-IP;

location / {
    proxy_pass http://10.1.1.5:80;
    proxy_http_version  1.1;
    proxy_cache_bypass  $http_upgrade;
    proxy_set_header Upgrade           $http_upgrade;
    proxy_set_header Connection        "upgrade";
    proxy_set_header Host              $host;
    proxy_set_header X-Real-IP         $remote_addr;
    proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Host  $host;
    proxy_set_header X-Forwarded-Port  $server_port;
  }
error_page 404 /404.html;
    location = /40x.html {
    }
error_page 500 502 503 504 /50x.html;
    location = /50x.html {
    }
}   

#---------------------------------------------------------------------------------

• proxy_http_version 1.1 — определяет версию протокола HTTP для проксирования, по умолчанию она установлена на 1.0. Для Websockets и keepalive соединений вам необходимо использовать версию 1.1.
• proxy_cache_bypass $http_upgrade — Устанавливает условия, при которых ответ не будет взят из кеша.
• Upgrade $http_upgrade и Connection "upgrade" — эти поля заголовка необходимы, если ваше приложение использует веб-сокеты.
• Host $host — Переменная $host в следующем порядке приоритета содержит: имя хоста из строки запроса, или имя хоста из поля заголовка запроса Host , или имя сервера, соответствующее запросу.
• X-Real-IP $remote_addr — перенаправляет удаленный IP-адрес реального посетителя на прокси-сервер.
• X-Forwarded-For $proxy_add_x_forwarded_for — список, содержащий IP-адреса каждого сервера, через который клиент прошел проксирование.
• X-Forwarded-Proto $scheme — при использовании внутри блока HTTPS-сервера каждый HTTP-ответ от проксируемого сервера перезаписывается на HTTPS.
• X-Forwarded-Host $host — определяет исходный хост, запрошенный клиентом.
• X-Forwarded-Port $server_port — определяет исходный порт, запрошенный клиентом.

Проверяем правильность настроек nginx:

nginx -t

И перезагружаем его:

systemctl restart nginx